Jesper Bengtson
Slovakiets sikkerhedsmyndighed har fundet en udokumenteret bagdør og skjulte russiske telefonnumre i vejkameraerne.
Kameraerne skulle overvåge trafikken på slovakiske veje, men indeholdt et modul, der kunne fjernstyres via SMS fra en fast liste af numre i Sankt Petersborg og Kemerovo. Sagen har fået den slovakiske regering til at standse udrulningen og fyre to embedsmænd i Indenrigsministeriet.
Det er den nationale sikkerhedsmyndighed NBÚ, der har foretaget den tekniske undersøgelse af hastighedskameraet NERO R-ONE, som er købt til et nyt automatisk trafikkontrolsystem for i alt cirka 30 millioner euro (omkring 224 millioner kroner) af EU-midler. Kameraet indeholdt et udokumenteret 3G/4G-modul, en aktiv Wi-Fi-antenne og en åben videostream uden adgangskode.
Tolv numre fra to russiske regioner
I hukommelsen på kameraet fandt NBÚ tolv russiske telefonnumre, som apparatet var konfigureret til at modtage kommandoer fra. Fordelingen er ni mobilnumre fra Sankt Petersborg, to fastnetnumre fra samme by og et mobilnummer fra regionen Kemerovo i Sibirien.
Kombinationen af et af de forudprogrammerede numre og en kode gav i praksis fuld fjernstyring af kameraet. NBÚ udsendte 13. august en formel advarsel, hvor bagdøren betegnes som en betydelig cybertrussel.
Sikkerhedsekspert og tidligere NATO-diplomat Peter Bátor fra oppositionspartiet Progressive Slovakia kalder fundet et lærebogseksempel. “Dette er et helt konkret eksempel på, hvordan Rusland bruger teknologi, som det sælger, til at spionere,” sagde han til The Slovak Spectator.
Slukket sikkerhedslag og åben videostream
Ud over bagdøren fandt NBÚ en række grundlæggende svagheder. Kameraets SecureBoot, der skal sikre at kun godkendt firmware kan køre på enheden, var slået fra. Webportalen til administration havde flere sårbarheder, og livestreamen fra kameraet lå åben uden adgangskode for enhver, der kendte enhedens IP-adresse.
Producenten står officielt som det cypriotiske selskab SODASUS, og apparatet er solgt til den slovakiske stat af den lokale leverandør Soitron. Ifølge sagens dokumentation er hardwaren i praksis en ommærket udgave af den russiske CORDON PRO.M fra Sankt Petersborg-firmaet Simicon, ført gennem tre mellemhandlere inklusive et cypriotisk selskab, før den nåede Slovakiet.
Fico afviser, ministeriet fyrer to embedsmænd
Regeringens første reaktion var afvisende. Premierminister Robert Fico kaldte bekymringen for overdrevet. “Jeg får ondt i maven, når nogen fortæller mig, at to vejkameraer skulle true Den Slovakiske Republiks sikkerhed,” lød hans kommentar.
Efter NBÚ’s tekniske gennemgang 12. august endte sagen alligevel med, at Indenrigsministeriet under minister Matúš Šutaj Eštok afsluttede samarbejdet med leverandøren og fyrede to embedsmænd. De to testkameraer, der stod opsat på slovakiske veje, tages ud af drift.
Sagen rejser bredere spørgsmål ved leverandørkæderne bag den offentlige overvågnings-infrastruktur i EU. Både Progressive Slovakia og uafhængige it-sikkerhedsforskere peger på, at samme model kan være leveret til andre østeuropæiske lande, blandt andet Kroatien. Jack Pannell fra tænketanken British Foreign Policy Group påpeger, at der tidligere er set russiske cyberangreb på trafik- og overvågningskameraer i lande, der sender militær støtte til Ukraine.
