Flipper Zero: карманный многофункциональный инструмент, который взламывает всё подряд (и почему правительства его ненавидят).

Я смотрел, как 19-летний парень в TikTok переключал канал на барном телевизоре с помощью оранжевого пластикового гаджета, пока бармен искал пульт. Этот ролик набрал двенадцать миллионов просмотров. Затем я смотрел, как правительство Канады объявило о намерении запретить этот гаджет, потому что его якобы использовали для угона автомобилей. Потом я смотрел, как Amazon убрал его из своего магазина. А потом я смотрел, как компания, стоящая за ним, всё равно сообщила о выручке в 80 миллионов долларов в 2023 году.

Добро пожаловать в сагу о Flipper Zero. 169 долларов за карманный многофункциональный инструмент для хакеров, предназначенный для пентестеров и гиков. Самый противоречивый продукт потребительской электроники со времен изобретения джейлбрейка iPhone. Политики ненавидят его, потому что считают, что он угоняет машины (это не так). TikTok обожает его, потому что с его помощью можно устраивать глупые розыгрыши с использованием инфракрасных сигналов. И за всей этой шумихой скрывается действительно полезный инструмент с открытым исходным кодом, изменивший подход специалистов по безопасности к своей работе.

Вот что оно на самом деле умеет, чего оно абсолютно не может делать, независимо от того, что вам говорят в социальных сетях, и почему целые правительства сошли с ума из-за устройства с мультяшным дельфином на экране.

Что такое Flipper Zero: оборудование для гиков, которые любят ломать вещи.

Отбросив все споры, Flipper Zero представляет собой портативное многофункциональное устройство для беспроводных протоколов и систем контроля доступа. По сути, это швейцарский армейский нож для радиосигналов. Считывает RFID-бейджи. Клонирует NFC-карты. Захватывает и воспроизводит сигналы дистанционного управления в диапазоне ниже ГГц. Передает инфракрасные коды на каждый телевизор в зоне действия. И всё это с помощью гаджета размером с большой шоколадный батончик с пиксельным дельфином на ЖК-экране.

Алекс Кулагин и Павел Жовнер запустили кампанию на Kickstarter в 2020 году. Было собрано 4,8 миллиона долларов, что примерно в 10 раз превысило целевую сумму. Компания Flipper Devices Inc. отгрузила первые устройства в 2022 году. К 2025 году было продано более миллиона устройств.

Вот что вы получаете за 169 долларов:

Благодаря джойстику и маленькому экрану устройство напоминает Тамагочи из 90-х. И это сделано намеренно. Талисман-дельфин меняется по мере использования устройства. Чем больше вы взламываете, тем счастливее становится ваш дельфин. Глупо? Да. Блестящий маркетинговый ход для хакерского сообщества? Безусловно.

Что на самом деле умеет Flipper Zero?

Позвольте мне подробно рассказать о каждом модуле, потому что его возможности действительно впечатляют для гаджета за 169 долларов.

Радиочастоты ниже ГГц. Антенна CC1101 принимает и передает сигналы на частотах от 300 до 928 МГц. Это охватывает устройства для открывания гаражных ворот, метеостанции, дистанционно управляемые ворота, беспроводные дверные звонки, брелоки для автомобильных ключей с фиксированными кодами и десятки других радиопротоколов. Вы направляете Flipper на пульт дистанционного управления, захватываете сигнал, сохраняете его и воспроизводите позже. Я видел, как люди использовали это для управления воротами в своем жилом комплексе после того, как потеряли оригинальный пульт.

NFC на частоте 13,56 МГц. В Flipper Zero встроен модуль NFC, считывающий бесконтактные карты: проездные, ключи от отелей, офисные бейджи, платежные карты (частично). Он может эмулировать некоторые из этих карт, выступая в качестве клона. Модуль NFC работает с MIFARE Classic, NTAG и несколькими другими типами меток.

RFID 125 кГц. В старых бейджах, брелоках и картах доступа в здание часто используется частота 125 кГц. Flipper считывает, хранит и эмулирует эти сигналы. Подойдите к считывателю бейджей в офисе, приложите Flipper вместо карты, и дверь откроется. Удобно, если вы забыли свой бейдж. Также полезно для проверки безопасности.

Инфракрасный. Flipper имеет встроенный ИК-передатчик и приемник. В него предустановлена огромная база данных инфракрасных кодов для телевизоров, кондиционеров, проекторов, саундбаров и телеприставок. Направьте его на любой телевизор и перебирайте коды, пока один из них не сработает. Именно эта функция стала вирусной в TikTok, где люди выключают телевизоры в общественных местах. Безобидно, но раздражает.

iButton и 1-wire. В некоторых зданиях используются контактные кнопки, похожие на металлические кнопки. Flipper считывает и эмулирует их через свой разъем iButton. Старая технология, но все еще широко распространенная.

BadUSB. Подключите Flipper к компьютеру через USB, и он будет работать как клавиатура. Он может автоматически вводить заранее написанные скрипты, выполняя команды на целевом компьютере. Специалисты по тестированию на проникновение используют это, чтобы продемонстрировать, как быстро физическая атака через USB может скомпрометировать рабочую станцию. Скрипты используют Ducky Script, тот же язык, что и USB Rubber Ducky.

Контакты GPIO. Flipper оснащен контактами GPIO, позволяющими подключать внешние модули, датчики и инструменты отладки. Модуль видеоигр (дополнение для Raspberry Pi Pico) превращает его в портативную игровую консоль. Плата разработки WiFi добавляет возможности сканирования сети через чип ESP32. Интерфейс GPIO делает Flipper расширяемым устройством, для которого базовое оборудование изначально не было предназначено.

Bluetooth. Поддержка BLE позволяет Flipper взаимодействовать с телефонами и другими устройствами Bluetooth. Этот модуль привлек внимание после того, как в сентябре 2023 года на фестивале Midwest FurFest кто-то продемонстрировал спам-атаки с использованием Bluetooth Low Energy, которые нарушили работу платежных терминалов и, что более серьезно, некоторых медицинских устройств в этом районе.

Чего не может сделать Flipper Zero (несмотря на заявления TikTok)

В социальных сетях Flipper представили как универсальную хакерскую машину. Это не так. Вот чего он не может делать:

Современные автомобили с таким кодом угнать невозможно. В более новых автомобилях используются плавающие коды, где каждое нажатие клавиши генерирует уникальный зашифрованный сигнал. Перехват и воспроизведение плавающего кода невозможны, поскольку автомобиль уже перешёл к следующему коду в последовательности. Системы с фиксированным кодом, выпущенные в 1990-х и начале 2000-х годов, уязвимы. А что касается автомобилей, выпущенных после 2005 года и использующих плавающие коды? «Флиппер» не сможет их взломать.

Устройство не может клонировать зашифрованные NFC-карты. Современные кредитные карты, новые проездные билеты и большинство защищенных пропусков используют зашифрованную связь. Flipper может считывать UID (публичный идентификатор), но не может извлекать закрытые ключи, необходимые для создания рабочей клонированной карты. Карты MIFARE DESFire, более новые MIFARE Plus и банковские карты с динамическими CVV-кодами безопасны.

В базовой комплектации взламывать сети Wi-Fi невозможно. Базовая версия Flipper не имеет аппаратного обеспечения Wi-Fi. Дополнительная плата разработки ESP32 может сканировать сети и выполнять базовые атаки, но называть это взломом Wi-Fi — это ещё мягко сказано.

Он не способен взломать современное шифрование. Никакого подбора паролей WPA3 методом перебора. Никакой расшифровки сигналов, защищенных AES. Flipper работает с незашифрованными или слабо зашифрованными протоколами. Все, что должным образом защищено, находится вне его досягаемости.

Наибольшие споры вызывает разрыв между тем, что показывает TikTok, и тем, что устройство делает на самом деле. Выключение подростком телевизора в ресторане — отличный контент. А вот обнаружение специалистом по тестированию на проникновение того, что в корпоративном офисе до сих пор используются незашифрованные пропуска с частотой 125 кГц для доступа в здание? Вот это и есть реальный сценарий использования, который имеет значение.

Споры: запреты, конфискации и паника в правительстве.

Flipper Zero стал самым противоречивым устройством для потребителей с тех пор, как сообщество взломщиков замков стало широко распространенным. Правительства отнеслись к нему негативно.

В конце 2022 года таможенная служба США изъяла на границе 15 000 устройств Flipper Zero. Впоследствии они были отпущены, но изъятие показало, что правоохранительные органы рассматривают это устройство как потенциальную угрозу. У Федеральной комиссии по связи (FCC) не было с этим никаких проблем. Таможня просто хотела провести более тщательное изучение.

В апреле 2023 года Amazon заблокировала Flipper Zero на своей торговой площадке, классифицировав его как «устройство для скимминга карт». Это почти наверняка было неверно. Flipper не может скиммировать данные карт сколько-нибудь значимым образом, поскольку он не может извлекать закрытые ключи или динамические CVV-коды. Но алгоритмы Amazon не обращают внимания на нюансы, и устройство исчезло с платформы.

В 2023 году бразильский регулятор телекоммуникаций Anatel конфисковал партии Flipper Zero, полностью заблокировав импорт. Бразильским покупателям пришлось искать альтернативные способы приобретения устройства.

В сентябре 2023 года в британском аэропорту Гатвик у пассажира конфисковали устройство Flipper Zero. Сотрудники службы безопасности аэропорта, по всей видимости, приняли его за какое-то оружие. Устройство имеет длину 10 сантиметров, а на экране отображается мультяшный дельфин.

Самое крупное противостояние произошло в феврале 2024 года, когда Канада объявила о планах запретить Flipper Zero, связав его с угонами автомобилей. Канадское правительство обосновало это следующим образом: количество угонов автомобилей растет, Flipper Zero может взаимодействовать с радиосигналами, следовательно, Flipper Zero является инструментом для угона автомобилей. Исследователи в области безопасности указали, что Flipper не может взломать динамические коды, используемые в автомобилях, выпущенных за последние 20 лет. Позже предложение о запрете было скорректировано, и теперь оно направлено на борьбу с «незаконным использованием», а не с самим устройством.

В августе 2023 года в полицейском бюллетене Южно-Дакотского центра анализа информации содержалось предупреждение о том, что экстремисты могут использовать Flipper Zero для атак на энергетическую инфраструктуру. Компания Flipper Devices ответила, что современные системы управления электропитанием не уязвимы для сигналов, передаваемых Flipper.

Вся эта паника имеет общую нить: регулирующие органы, которые, по сути, не понимают технологию, регулирующую эти процессы. Flipper Zero выявляет уже существующую уязвимость. Он не создает новых уязвимостей. Если в вашем офисе используются незашифрованные RFID-бейджи 2005 года выпуска, это и есть проблема безопасности вашего офиса. Запрет инструмента, который это выявляет, не устранит проблему блокировки.

Пользовательские прошивки: Unleashed, Momentum и сообщество.

Официальная прошивка Flipper Zero намеренно консервативна. Она учитывает региональные ограничения частоты и избегает функций, которые можно было бы классифицировать как неприемлемые. Некоторые пользователи хотели большего.

Прошивка Unleashed снимает региональные ограничения частоты и добавляет протоколы в диапазоне ниже ГГц, не включенные в стандартную прошивку. Momentum (ранее Xtreme) идет еще дальше, предлагая дополнительные функции, анимацию и поддержку протоколов, разработанных сообществом. Эти пользовательские прошивки являются открытым исходным кодом, поддерживаются сообществом и легко устанавливаются через USB-подключение Flipper.

Магазин приложений Flipper (запущенный в июле 2023 года) добавляет еще один уровень функциональности. Сторонние разработчики создают приложения, расширяющие возможности устройства. Это могут быть инструменты сканирования Bluetooth, игровые эмуляторы и специализированные утилиты для работы с RFID. Слот для карты microSD позволяет хранить дополнительные данные, пользовательские скрипты и резервные копии прошивки.

Именно эта открытая экосистема отличает Flipper от проприетарного оборудования для пентестинга, стоимость которого составляет от 500 до 3000 долларов. Профессиональный RFID-инструмент Proxmark стоит от 300 долларов и выше. HackRF One для программно-определяемого радио стоит 300 долларов. USB Rubber Ducky стоит 80 долларов. Flipper выполняет 80% функций этих инструментов в одном устройстве стоимостью 169 долларов, и его сообщество постоянно пополняется новыми функциями.

Сообщество Flipper в Discord и Reddit — одно из самых активных сообществ по аппаратному хакингу. Люди ежедневно делятся пользовательскими скриптами, открытиями протоколов и пошаговыми инструкциями по использованию. Дискуссия между официальными и кастомными прошивками напоминает спор о джейлбрейке против стандартной iOS. Официальная прошивка обеспечивает легальность везде и регулярно обновляется компанией. Кастомная прошивка предоставляет инструменты, которые компания намеренно не включила. Большинство серьезных пользователей устанавливают Unleashed или Momentum в течение первой недели. Риск: кастомная прошивка может нарушать местные правила радиосвязи, поскольку она снимает ограничения по частотам, которые обеспечивают соответствие официальной сборки требованиям в разных странах.

Кто на самом деле пользуется Flipper Zero (и кому следует им пользоваться)?

Забудьте о розыгрышах в TikTok. Вот кому выгодно иметь такой гаджет:

Специалисты по тестированию на проникновение используют его при каждом взаимодействии. Оценка физической безопасности требует тестирования клонированных пропусков, беспроводных точек доступа и поверхностей атаки USB. Flipper охватывает все три аспекта, не требуя ношения сумки, полной специализированного оборудования.

ИТ-администраторы тестируют свои системы самостоятельно. Использует ли система NFC-бейджей в офисе шифрование? Принимает ли аудиовизуальная система конференц-зала какие-либо команды, передаваемые через инфракрасный порт? Может ли кто-то подойти к терминалу в холле и запустить скрипт BadUSB? Flipper отвечает на эти вопросы за считанные минуты.

Студенты и любители изучают радиопротоколы, аппаратный взлом и встроенные системы. Flipper — это образовательный инструмент, достаточно глубокий для обучения реальным концепциям безопасности. Одних только контактов GPIO достаточно, чтобы превратить его в базовый логический анализатор и отладчик протоколов для электронных проектов.

Энтузиасты домашней автоматизации могут управлять устройствами разных производителей с помощью одного гаджета. Если ваш гараж использует частоту 315 МГц, потолочный вентилятор — инфракрасный датчик, а входные ворота — 433 МГц, Flipper справится со всеми ними.

Люди, которые теряют пульты дистанционного управления. Серьезно. Запрограммируйте Flipper с помощью инфракрасных кодов вашего телевизора и сигнала Sub-GHz ваших ворот, и вам больше никогда не понадобится другой пульт.

Исследователи в области безопасности, изучающие уязвимости IoT, используют его в качестве быстрого сканера. Пройдитесь по зданию, и за 30 минут вы составите карту всех беспроводных протоколов в зоне действия: какие бейджи используют шифрование, какие двери оснащены устаревшими RFID-метками, в каких конференц-залах установлены незащищенные аудиовизуальные системы. Раньше для такой проверки требовался целый рюкзак оборудования. Теперь же он помещается в карман.

Цифры продаж говорят сами за себя. К 2025 году было отгружено более миллиона единиц. Выручка выросла с 25 миллионов долларов в 2022 году до 80 миллионов долларов в 2023 году. Этот рост был обусловлен реальным спросом на рынках тестирования на проникновение, образования и хобби, а не только импульсивными покупками в TikTok. Многие из этих устройств в итоге оказались в корпоративных бюджетах на безопасность рядом с лицензиями Burp Suite и установками Kali Linux.

Jordan Morris

Jordan Morris is an AI expert with over a decade of experience and the author of a widely-read blog focused on artificial intelligence. His content spans a range of topics—from the ethics of machine learning to real-world applications of neural networks in business. Known for his clear writing and deep insights, Jordan has become a trusted voice in the AI community, appealing to both newcomers and seasoned professionals alike.