Rosyjskie numery ukryte w fotoradarach. Słowackie służby biją na alarm

Fotoradary NERO R-ONE kupiono na potrzeby budowy systemu automatycznej kontroli ruchu na Słowacji. Za dostawę odpowiadała firma Soitron, natomiast jako producenta wskazywano cypryjską spółkę SODASUS. Wątpliwości pojawiły się, gdy specjaliści zwrócili uwagę na wyraźne podobieństwo kamer do rosyjskich radarów Cordon, produkowanych przez firmę Simicon z Petersburga.

Peter Bátor, działający w obszarze bezpieczeństwa, mówił w słowackiej telewizji publicznej, że zbieżność konstrukcji jest niemal pełna. W jego ocenie trudno uznać za przypadek sytuację, w której urządzenie prezentowane jako nierosyjskie wygląda prawie identycznie jak produkt rosyjskiego producenta.

Kontrolę sprzętu przeprowadził NBÚ. W badanych urządzeniach wykryto nieudokumentowany moduł 3G/4G, aktywną sieć Wi‑Fi przeznaczoną do lokalnego łączenia się z kamerą, a także na stałe zapisane hasło administratora. W pamięci elementu komunikacyjnego znajdowała się również lista 12 rosyjskich numerów telefonów.

Ustalono, że moduł mógł odbierać komendy wysyłane SMS-ami z numerów uznanych za uprawnione. Jednocześnie interfejs kamery zawierał skonfigurowany strumień RTSP, który umożliwiał podgląd obrazu bez podawania hasła każdemu użytkownikowi mającemu dostęp do sieci. W efekcie problem dotyczył nie tylko możliwego pochodzenia urządzeń, ale też ich konfiguracji i realnego poziomu zabezpieczeń.

NBÚ przekazał, że analiza wypożyczonego egzemplarza prędkościomierza drogowego NERO R-ONE ujawniła kilka obszarów ryzyka. Wskazano m.in. wątpliwości co do faktycznego pochodzenia sprzętu i oprogramowania, rozbieżności między dokumentacją a wykrytą konfiguracją interfejsów łączności, a także wcześniej przygotowane mechanizmy zdalnego dostępu i zarządzania, których użytkownik nie mógł w pełni kontrolować.

Urząd zwrócił również uwagę na niezgodność pomiędzy deklarowanym a rzeczywiście używanym oprogramowaniem przetwarzającym pomiary oraz na słabe zabezpieczenia systemu. NBÚ ostrzegł przed poważnym zagrożeniem cybernetycznym związanym z wykorzystywaniem kilku typów drogowych fotoradarów i zalecił sprawdzenie, czy tego rodzaju urządzenia znajdują się w infrastrukturze poszczególnych podmiotów.

Nie potwierdzono dotąd, aby badane urządzenia faktycznie przesyłały materiały do Rosji. Służby podkreślają jednak, że same wykryte funkcje i ustawienia tworzyły potencjalne zagrożenie dla bezpieczeństwa całego systemu. W praktyce skończyło się to zerwaniem współpracy z dostawcą oraz działaniami prokuratury.

W Polsce system CANARD korzysta z innych, oficjalnie wskazywanych modeli fotoradarów: MultaRadar CD, MESTA Fusion RN, TraffiStar SR390 i SR520 oraz polskich Fotorapid CM i Fotorapid CF. Urządzenia te produkują firmy z Niemiec i Polski. W polskiej infrastrukturze nie ma ani NERO R-ONE, ani rosyjskich radarów Cordon, które są przedmiotem sprawy na Słowacji.