A agência de segurança nacional da Eslováquia, o Serviço Nacional de Segurança (NBU), emitiu um alerta oficial contra câmeras de velocidade NERO R-ONE instaladas no sistema de monitoramento rodoviário do país, após identificar mecanismos de acesso remoto não autorizado ligados a números de telefone russos codificados no firmware dos aparelhos. O achado interrompeu o rollout de 279 unidades, parte de um projeto de 30 milhões de euros financiado pela União Europeia para modernizar a rede de fiscalização de trânsito eslovaca.
As câmeras, comercializadas sob a marca NERO R-ONE, correspondem ao modelo CORDON PRO.M, fabricado pela Semicon, uma empresa sediada em São Petersburgo, Rússia. Segundo o relatório do NBU, os aparelhos contêm um mecanismo de backdoor que permanece em escuta por mensagens SMS enviadas de uma lista pré-configurada de números telefônicos russos. Quando um SMS correspondente é recebido, o dispositivo concede acesso shell e acesso à rede, efetivamente entregando controle remoto a qualquer pessoa que possua um desses números.
Além do backdoor SMS, o NBU documentou diversas vulnerabilidades na configuração de software e hardware das câmeras. Os dispositivos são entregues com o Secure Boot desativado, o que significa que o sistema não verifica a integridade do firmware antes da execução. Essa falha permite que atacantes com acesso físico ou administrativo instalem firmware modificado que sobrevive a outras medidas de segurança. O portal de gerenciamento web também apresenta múltiplas vulnerabilidades, e as câmeras expõem streams de vídeo ao vivo sem exigência de senha quando alguém conhece o endereço IP de difusão do aparelho.
O Serviço Nacional de Segurança começou a investigar as câmeras após políticos de oposição acusarem o governo de adquirir equipamentos de origem russa. A mídia eslovaca também reportou ligações entre a compra e uma empresa-cunho com sede no Chipre, que utilizava certificações questionáveis como mecanismo de ocultação. O Ministério do Interior inicialmente negou que as câmeras tivessem origem russa, argumentando que o equipamento seria instalado em uma rede fechada do ministério, incapaz de vazar dados para a internet. No entanto, a Isolação de Rede não remove um backdoor embutido no hardware. Um trigger via SMS utiliza conexão celular, enquanto um dispositivo comprometido pode expor sistemas vizinhos através de sua conexão de rede. Isolamento de rede reduz a exposição à internet pública, mas não elimina a necessidade de controle de integridade de firmware e de controles administrativos adequados.
Após a publicação dos resultados do NBU, funcionários do ministério interromperam o rollout e declararam que encomendariam uma avaliação independente. Esse estudo deverá determinar se o ministério pode remover o backdoor, substituir o firmware ou rejeitar completamente as câmeras. O caso levanta questões sérias sobre transparência de cadeia de suprimentos em infraestrutura crítica, especialmente quando a aquisição envolve entidades terceiras em jurisdições offshore.
Câmeras de trânsito coletam mais do que leituras de velocidade. Elas capturam imagens de veículos, placas, condições das vias, carimbotas de data e hora e dados de localização. Sua posição na rede também oferece a um atacante um ponto de partida dentro da infraestrutura de transporte. A origem dos equipamentos importa porque o processo de aquisição parece ter obscurecido a identidade do fabricante original. Um produto rebranding torna mais difícil para os compradores identificar o fornecedor original, revisar o software, verificar a propriedade do código e investigar o processo de atualização.
Relatórios eslovacos ligam dispositivos semelhantes à Croácia e a outros países da Europa Central e Oriental. Os achados disponíveis não confirmam o alcance regional completo, mas governos vizinhos que adquiriram o mesmo modelo podem comparar hardware, firmware e registros de certificação. O caso se soma a incidentes anteriores envolvendo câmeras mal protegidas ou expostas. A Hunt Intelligence reportou que um atacante comprometeu mais de 14.500 câmeras Dahua na Ucrânia e Rússia explorando vulnerabilidades antigas e uma conta codificada em alguns dispositivos.
O que observar: o resultado da auditoria independente prometida pelo Ministério do Interior Eslovaco será o primeiro indicador de quão profunda é a comprometência e se as câmeras podem ser mitigadas sem descarte total. Qualquer indicação de que o backdoor foi realmente explorado antes da descoberta tornaria o caso muito mais sério. Observar também se outros países da OTAN e da UE descobrem o mesmo modelo em seus sistemas de fiscalização rodoviária, o que indicaria um problema de cadeia de suprimentos mais amplo. E, finalmente, a resposta política do governo eslovaco — especialmente do primeiro-ministro Robert Fico, conhecido por sua proximidade com Putin — ao achado pode revelar muito sobre o grau de consciência ou negligência na aquisição.
Fontes: Tom's Hardware, Lavx.hu, GeekOven.net
✓ Fontes independentes cruzadas e verificadas antes da publicação
