El Buró Nacional de Seguridad (NBU) de Eslovaquia emitió una alerta de seguridad oficial contra cámaras de velocidad NERO R-ONE desplegadas como parte del sistema de monitorización vial del país, tras identificar mecanismos no autorizados de acceso remoto vinculados a números de teléfono ruse codificados en el firmware de los dispositivos. El hallazgo interrumpió el despliegue de 279 unidades, parte de un proyecto de 30 millones de euros financiado por la Unión Europea para modernizar la red de fiscalización de tránsito eslovaca.
Las cámaras, comercializadas bajo la marca NERO R-ONE, corresponden al modelo CORDON PRO.M, fabricado por Semicon, una empresa con sede en San Petersburgo, Rusia. Según el informe del NBU, los dispositivos contienen un mecanismo de backdoor que permanece en escucha de mensajes SMS enviados desde una lista preconfigurada de números de teléfono rusos. Cuando se recibe un SMS correspondiente, el dispositivo concede acceso shell y acceso a la red, entregando efectivamente el control remoto a cualquiera que pose uno de esos números.
Adés del backdoor SMS, el NBU documentó varias vulnerabilidades de configuración de software y hardware en las cámaras. Los dispositivos se entregan con Secure Boot desactivado, lo que significa que el sistema no verifica la integridad del firmware antes de la ejecución. Esta falla permite a atacantes con acceso físico o administrativo instalar firmware modificado que sobrevive a otras medidas de seguridad. El portal de gestión web también presenta múltiples vulnerabilidades, y las cámaras exponen transmisiones en vivo sin requerir contraseña cuando se conoce la dirección IP de difusión del aparato.
El Servicio Nacional de Seguridad comenzó a investigar las cámaras después de que políticos de oposición acusaran al gobierno de adquirir equipos de origen ruso. Los medios eslovacos también reportaron vínculos entre la adquisición y una empresa-cuncho con sede en Chipre, que utilizaba certificaciones cuestionables como mecanismo de ofuscación. El Ministerio del Interior inicialmente negó que las cámaras tuvieran origen ruso, argumentando que el equipo se instalaría en una red cerrada del ministerio incapaz de filtrar datos a internet. Sin embargo, el aislamiento de red no elimina un backdoor incrustado en el hardware. Un trigger vía SMS utiliza conexión celular, mientras que un dispositivo comprometido puede exponer sistemas vecinos a través de su conexión de red. El aislamiento de red reduce la exposición a internet público, pero no elimina la necesidad de controles de integridad de firmware y de salvaguardas administrativas.
Tras la publicación de los resultados del NBU, funcionarios del ministerio interrumpieron el despliegue y declararon que encargarían una evaluación independiente. Este estudio deberá determinar si el ministerio puede eliminar el backdoor, reemplazar el firmware o rechazar completamente las cámaras. El caso plantea preguntas serias sobre la transparencia de la cadena de suministros en infraestructura crítica, especialmente cuando la adquisición involucra entidades terceras en jurisdicciones offshore.
Las cámaras de tránsito recopilan más que lecturas de velocidad. Capturan imágenes de vehículos, matrículas, condiciones de las vías, marcas de tiempo y datos de ubicación. Su posición en la red también ofrece a un atacante un punto de partida dentro de la infraestructura de transporte. El origen del equipamiento importa porque el proceso de adquisición parece haber oscurecido la identidad del fabricante original. Un producto rebranding dificulta que los compradores identifiquen al proveedor original, revisen el software, verifiquen la propiedad del código e investiguen el proceso de actualización.
Informes eslovacos vinculan dispositivos similares a Croacia y otros países de Europa Central y Oriental. Los hallazgos disponibles no confirman el alcance regional completo, pero gobiernos vecinos que adquirieron el mismo modelo pueden comparar hardware, firmware y registros de certificación. El caso se suma a incidentes previos que involucran cámaras mal protegidas o expuestas. Hunt Intelligence reportó que un atacante comprometió más de 14.500 cámaras Dahua en Ucrania y Rusia explotando vulnerabilidades antiguas y una cuenta codificada en algunos dispositivos.
Qué observar: el resultado de la auditoría independiente prometida por el Ministerio del Interior eslovaco será el primer indicador de qué tan profunda es la comprometencia y si las cámaras pueden mitigarse sin desecho total. Cualquier indicación de que el backdoor fue realmente explotado antes del descubrimiento haría el caso mucho más serio. También observar si otros países de la OTAN y la UE descubren el mismo modelo en sus sistemas de fiscalización vial, lo que indicaría un problema más amplio de cadena de suministros. Y, finalmente, la respuesta política del gobierno eslovaco, especialmente del primer ministro Robert Fico, conocido por su cercanía con Putin, al hallazgo puede revelar mucho sobre el grado de conciencia o negligencia en la adquisición.
Fuentes: Tom's Hardware, Lavx.hu, GeekOven.net
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
