SODASUS z Cypru w sprawie radarów na Słowacji. Służby wykryły poważne luki

SODASUS z Cypru figuruje jako producent systemu kontroli ruchu NERO R-ONE, który znalazł się pod lupą słowackich służb bezpieczeństwa. Analiza urządzenia wykazała mechanizmy zdalnego dostępu, niezgodności w oprogramowaniu oraz zapisane rosyjskie numery telefoniczne.

Dwie kamery NERO R-ONE były już testowane na Słowacji, w tym jedna w Bratysławie. Po ujawnieniu wyników analizy urządzenia usunięto, a sprawą zainteresowały się kolejne słowackie instytucje.

SODASUS z Cypru jako producent urządzenia

Sprawa dotyczy systemu NERO R-ONE przeznaczonego do automatycznej kontroli ruchu drogowego.

W oficjalnym słowackim certyfikacie zatwierdzenia typu jako producent urządzenia figuruje SODASUS LTD, Cyprus.

Certyfikat nr 044/1/162/26 został wydany 30 czerwca 2026 roku i pozostaje ważny do 30 czerwca 2036 roku.

Wniosek o certyfikację złożyła słowacka firma it-s.

Należy przy tym rozróżnić producenta wskazanego w dokumentach od bezpośredniego kontrahenta słowackiego Ministerstwa Spraw Wewnętrznych. W realizacji projektu uczestniczyła słowacka firma Soitron.

Co wiadomo o firmie na Cyprze?

CYPRNews sprawdził publicznie dostępne dane rejestrowe dotyczące SODASUS LTD.

Spółka została zarejestrowana na Cyprze 24 sierpnia 2021 roku i nadal figuruje jako aktywna.

Jej numer rejestracyjny to HE 424916, a adres rejestrowy znajduje się w Strovolos w Nikozji.

W publicznie dostępnych danych jako dyrektor spółki figuruje FIDESTA MANAGEMENT LTD, natomiast sekretarzem jest Evripidis Pavlou.

SODASUS przedstawia się obecnie jako firma technologiczna oferująca rozwiązania m.in. dla administracji publicznej, infrastruktury krytycznej oraz systemów kontroli ruchu drogowego.

W oficjalnej dokumentacji słowackiej to właśnie cypryjska spółka została wskazana jako producent NERO R-ONE.

Słowackie służby zbadały system

Narodowa Agencja Bezpieczeństwa Słowacji, NBÚ, przeprowadziła analizę techniczną NERO R-ONE na wniosek tamtejszego Ministerstwa Spraw Wewnętrznych.

14 sierpnia urząd opublikował ostrzeżenie dotyczące poważnego zagrożenia dla cyberbezpieczeństwa związanego z analizowanymi systemami pomiarowymi.

Eksperci wskazali m.in. na wątpliwości dotyczące rzeczywistego pochodzenia sprzętu i oprogramowania.

Znaleziono również różnice pomiędzy dokumentacją techniczną a faktyczną konfiguracją interfejsów komunikacyjnych.

Analiza wykazała ponadto obecność mechanizmów pozwalających na zdalny dostęp i zarządzanie urządzeniem.

Wersja oprogramowania znajdująca się w badanym systemie nie odpowiadała tej wskazanej w dokumentacji technicznej.

12 rosyjskich numerów i możliwość obsługi przez SMS

Dalsze szczegóły dotyczące analizy opublikowała słowacka telewizja Markíza.

Według jej ustaleń w urządzeniu znajdowało się 12 zapisanych numerów telefonicznych z Rosji.

Miały być związane m.in. z Petersburgiem oraz obwodem kemerowskim.

W systemie znaleziono również dodatkowy moduł komunikacji 3G/4G, którego nie opisano w dokumentacji.

Urządzenie miało możliwość odbierania poleceń wysyłanych za pomocą wiadomości SMS.

Analiza wykazała także aktywne Wi-Fi oraz możliwość transmisji obrazu przez RTSP bez zabezpieczenia hasłem dla osoby posiadającej dostęp do sieci urządzenia.

Kamery były już testowane na drogach

Sprawa nie dotyczyła wyłącznie urządzenia znajdującego się w laboratorium.

Dwa systemy NERO R-ONE trafiły do testów na Słowacji. Jedno urządzenie było wykorzystywane w Bratysławie, drugie w Trnawie.

Systemy tego typu pozwalają kontrolować jednocześnie kilka pasów ruchu oraz rejestrować pojazdy i znajdujące się w nich osoby.

Po ujawnieniu wyników analizy minister spraw wewnętrznych Matúš Šutaj Eštok zdecydował o usunięciu testowanych urządzeń.

Ministerstwo utrzymuje, że zostało wprowadzone w błąd w kwestii pochodzenia dostarczonego sprzętu.

Zakup urządzeń był związany z projektem finansowanym ze środków unijnego Planu Odbudowy.

Sprawą zajęły się kolejne instytucje

Wątpliwości dotyczące kamer zainteresowały również słowacki Urząd Ochrony Danych Osobowych.

Urząd rozpoczął postępowanie związane z systemami. Sprawa jest szczególnie istotna ze względu na możliwość rejestrowania nie tylko pojazdów, lecz także kierowców i pasażerów.

Okoliczności związane z zakupem urządzeń polecił zbadać również słowacki prokurator generalny Maroš Žilinka.

Technologiczny trop prowadzi do Rosji

Jeszcze przed opublikowaniem oficjalnego ostrzeżenia NBÚ słowackie media wskazywały na podobieństwa NERO R-ONE do systemów rosyjskiej firmy Simicon z Petersburga.

Kolejne analizy wykazały technologiczne powiązania oprogramowania z rozwiązaniami stosowanymi w rosyjskich systemach kontroli ruchu.

Sprawę opisał również szwajcarski dziennik „Neue Zürcher Zeitung”, zwracając uwagę na rosyjskie pochodzenie części technologii stojącej za urządzeniami formalnie certyfikowanymi jako produkt firmy z Cypru.

Nie została jednak dotychczas publicznie przedstawiona pełna struktura relacji handlowych pomiędzy SODASUS, rosyjską Simicon oraz firmami uczestniczącymi w projekcie na Słowacji.

Sprawa wywołała polityczny spór

Ustalenia służb wywołały również reakcje polityczne.

Opozycyjna Postępowa Słowacja zaczęła domagać się dymisji ministra spraw wewnętrznych Matúša Šutaja Eštoka.

Krytyka pojawiła się także w obozie rządowym. Minister turystyki i sportu Rudolf Huliak publicznie zakwestionował sposób przeprowadzenia całej operacji i również mówił o odpowiedzialności szefa MSW.

Premier Robert Fico broni natomiast ministra i bagatelizuje możliwość, aby dwa testowane urządzenia mogły stanowić zagrożenie dla bezpieczeństwa państwa.

Skąd liczba 279 kamer?

W informacjach dotyczących sprawy często pojawia się liczba 279 systemów kontroli ruchu.

Nie oznacza ona jednak, że Słowacja kupiła 279 urządzeń NERO R-ONE od SODASUS.

Liczba dotyczy szerszego programu słowackiego Ministerstwa Spraw Wewnętrznych związanego z rozbudową automatycznego systemu kontroli ruchu drogowego.

W przypadku NERO R-ONE mowa była o dwóch urządzeniach wykorzystywanych do testów.

SODASUS figuruje jako producent w dokumentacji certyfikacyjnej. Wniosek o certyfikat złożyła firma it-s, natomiast kontraktowym partnerem słowackiego Ministerstwa Spraw Wewnętrznych była Soitron.

Nie potwierdzono przesyłania danych do Rosji

W całej sprawie potrzebne jest istotne zastrzeżenie.

Dotychczas nie przedstawiono dowodów, że dane z testowanych urządzeń rzeczywiście były przesyłane do Rosji.

Nie potwierdzono także, że wykryte możliwości zdalnego dostępu zostały faktycznie wykorzystane do szpiegowania lub nieuprawnionego pozyskiwania informacji.

Oficjalne ustalenia dotyczą przede wszystkim technicznych możliwości urządzenia, niezgodności z dokumentacją oraz zagrożeń dla cyberbezpieczeństwa.

Sprawa stawia natomiast pytania o pochodzenie technologii wykorzystywanej w państwowej infrastrukturze oraz proces certyfikacji systemu, którego producentem w oficjalnych dokumentach została wskazana firma zarejestrowana na Cyprze.

Źródła: Narodowa Agencja Bezpieczeństwa Słowacji (NBÚ), słowackie organy metrologiczne i certyfikacyjne, cypryjskie dane rejestrowe spółek, SODASUS, Aktuality.sk, TV Markíza, Neue Zürcher Zeitung, Politis, TVN24/PAP, Interia

---