Slovakia phát hiện backdoor Nga trong camera bắn tốc độ: Lời cảnh báo cho mọi quốc gia

Cơ quan An ninh Quốc gia Slovakia (NBU) vừa đưa ra cảnh báo nghiêm trọng sau khi phát hiện một loại camera bắn tốc độ cao NERO R-ONE có chứa backdoor do Nga thiết kế. Các thiết bị này, thực chất là phiên bản đổi tên của mẫu camera CORDON PRO.M do công ty Semicon (St. Petersburg) sản xuất, có khả năng bị kích hoạt từ xa chỉ bằng một tin nhắn SMS từ danh sách số điện thoại Nga được mã hóa cứng. Sự việc không chỉ phơi bày lỗ hổng nghiêm trọng trong chuỗi cung ứng công nghệ mà còn đặt ra câu hỏi lớn về an ninh quốc gia trong các dự án hạ tầng sử dụng ngân sách công.

Catalin Cimpanu

Chi tiết vụ việc

Phát hiện này được công bố trong bản tin bảo mật Risky Bulletin do phóng viên Catalin Cimpanu của trang Risky.biz đăng tải. Theo đó, NBU đã vào cuộc điều tra sau khi phe đối lập tại Slovakia cáo buộc chính phủ mua camera từ Nga, cùng với các báo cáo truyền thông liên kết thương vụ này với một công ty vỏ bọc tại Cyprus có chứng nhận giả mạo.

Theo báo cáo kỹ thuật của NBU, ngoài backdoor qua SMS, camera NERO R-ONE còn có một loạt lỗ hổng nghiêm trọng:

• Tính năng SecureBoot bị tắt: Điều này có nghĩa là nguồn gốc firmware không bao giờ được xác minh, cho phép kẻ tấn công cài đặt phần mềm độc hại tùy ý.
• Cổng quản trị web có nhiều lỗ hổng: Các lỗ hổng này có thể bị khai thác để chiếm quyền điều khiển thiết bị.
• Luồng video trực tiếp bị lộ: Camera phát trực tiếp hình ảnh mà không cần mật khẩu cho bất kỳ ai biết địa chỉ IP, gây rò rỉ dữ liệu giám sát nghiêm trọng.

Bối cảnh thương vụ gây tranh cãi

Số camera này được mua trong khuôn khổ dự án trị giá 30 triệu Euro do EU tài trợ, nhằm xây dựng lại hệ thống giám sát giao thông quốc gia Slovakia. Bộ Nội vụ nước này được cho là đã mua và chuẩn bị lắp đặt 279 camera trên các tuyến đường trọng điểm. Ban đầu, Bộ này phủ nhận nguồn gốc Nga của thiết bị và khẳng định không có nguy cơ đánh cắp dữ liệu vì camera sẽ nằm trên mạng nội bộ khép kín.

Tuy nhiên, sau khi báo cáo của NBU được công bố, Bộ Nội vụ đã phải tạm dừng triển khai và yêu cầu một đơn vị kiểm toán độc lập đánh giá lại. Một số thiết bị tương tự cũng được cho là đã được lắp đặt tại Croatia và có thể ở một số quốc gia Đông Âu khác.

Bài học cho an ninh hạ tầng toàn cầu

Sự việc này là một lời cảnh tỉnh mạnh mẽ, không chỉ với Slovakia mà với tất cả các quốc gia đang phát triển hạ tầng đô thị thông minh. Nhà nghiên cứu ChrisO_wiki trên mạng xã hội đã bình luận: "Không ai nên mua camera an ninh từ Nga, hoặc Trung Quốc vì vấn đề tương tự."

Minh họa radar giám sát

Các chuyên gia an ninh mạng cho rằng, việc xác minh nguồn gốc và kiểm tra kỹ lưỡng chuỗi cung ứng thiết bị IoT là vô cùng quan trọng. Đối với các dự án chính phủ, việc kiểm định độc lập từ bên thứ ba trước khi đưa vào vận hành là điều bắt buộc để tránh nguy cơ gián điệp hoặc phá hoại từ các quốc gia thù địch.

Kết luận

Vụ bê bối camera bắn tốc độ tại Slovakia cho thấy rủi ro về an ninh không chỉ nằm ở phần mềm mà còn ở chính phần cứng được nhập khẩu. Việc một thiết bị tưởng chừng vô hại như camera giao thông lại có thể trở thành công cụ gián điệp là hồi chuông cảnh báo cho các nhà hoạch định chính sách và quản lý dự án công nghệ trên toàn thế giới. Sự minh bạch trong chuỗi cung ứng và cam kết bảo mật phải là tiêu chí hàng đầu, không thể đánh đổi bằng giá thành rẻ hay thời gian triển khai nhanh.