Na Słowacji testowano drogowe urządzenia pomiarowe, w których analiza bezpieczeństwa ujawniła rosyjski sprzęt i oprogramowanie, nieudokumentowany moduł 3G/4G oraz zapisane numery telefonów z rosyjskimi prefiksami. Kamery potrafiły przyjmować określone polecenia przez SMS, a ich oprogramowanie zawierało również mechanizmy zdalnego dostępu. Nie ma jednak dowodów, że funkcje te zostały wykorzystane do przejęcia urządzeń albo przesyłania danych do Rosji.

Radar NERO R-ONE okazał się rosyjskim CORDON-em

Urządzenia przedstawiano jako NERO R-ONE produkcji cypryjskiej firmy Sodasus. Po rozebraniu jednej z kamer słowacki Narodowy Urząd Bezpieczeństwa, czyli NBÚ, ustalił jednak, że sprzęt odpowiada rosyjskiemu systemowi CORDON PRO.M firmy Simicon z Petersburga. Na rosyjskie pochodzenie wskazywały między innymi elementy elektroniki, jednostka sterująca oraz oprogramowanie urządzenia.

Słowackie Ministerstwo Spraw Wewnętrznych początkowo odrzucało zarzuty dotyczące rosyjskiego pochodzenia radarów. 7 sierpnia 2026 r., po pojawieniu się kolejnych wątpliwości, resort zapowiedział jednak niezależną ocenę bezpieczeństwa i zażądał od dostawcy udokumentowania rzeczywistego pochodzenia sprzętu oraz jego komponentów.

W środku był drugi, nieudokumentowany moduł 3G/4G

Jednym z najważniejszych ustaleń analizy było odnalezienie dodatkowego modułu komunikacji komórkowej, którego nie uwzględniono w dokumentacji. Slot na kartę Mini SIM znajdował się za pokrywą dostępną od zewnętrznej strony obudowy, co umożliwiało umieszczenie karty bez rozbierania całego urządzenia. Każdy z modułów komórkowych miał własną aplikację obsługującą połączenia telefoniczne i wiadomości SMS. System sprawdzał numer nadawcy, zanim przetworzył otrzymaną wiadomość.

W analizowanym egzemplarzu znajdowała się lista 12 numerów telefonicznych z rosyjskimi prefiksami. Dziesięć z nich było numerami komórkowymi, a dwa należały do telefonii stacjonarnej. Lista nie była widoczna z poziomu standardowego panelu administracyjnego urządzenia.

SMS mógł zmieniać tryb pracy radaru

Jeżeli wiadomość pochodziła z numeru znajdującego się na liście, urządzenie rozpoznawało zestaw określonych komend. Obsługiwane były między innymi polecenia restartu modemu lub całego urządzenia, zestawienia połączenia telefonicznego, zmiany trybu połączenia sieciowego oraz odczytania numeru seryjnego.

Nie oznacza to, że pojedynczy SMS automatycznie pozwalał przejąć pełną kontrolę nad radarem. Wiadomości mogły jednak wpływać na sposób komunikacji urządzenia, a według analizy połączenia telefoniczne były powiązane z mechanizmami umożliwiającymi dostęp zdalny.

Problem był szerszy niż sam moduł komórkowy. Do urządzenia można było uzyskać dostęp również przez Ethernet, Wi-Fi, port konsolowy, sieć komórkową po włożeniu karty SIM oraz przez odpowiednio skonfigurowane połączenie VPN.

Hasło administratora zapisano bezpośrednio w systemie

NBÚ wykrył także konto administratora root, którego hasło było zapisane bezpośrednio w oprogramowaniu urządzenia. Dostęp do tego konta był możliwy nie tylko lokalnie, lecz także przez protokoły Telnet i SSH. Konto root zapewnia przy tym pełne uprawnienia do systemu operacyjnego.

Oprogramowanie zawierało ponadto dwie gotowe konfiguracje OpenVPN wraz z zapisanymi danymi dostępowymi. Sam mechanizm zdalnego zarządzania nie jest czymś niezwykłym w sprzęcie pracującym poza siedzibą operatora, ale problemem jest brak pełnej wiedzy użytkownika o dostępnych kanałach komunikacji i ich konfiguracji.

Analiza wykazała również 260 miejsc w kodzie związanych z potencjalnie niebezpiecznym wykonywaniem poleceń systemowych. Nie oznacza to 260 potwierdzonych luk bezpieczeństwa. Chodzi o fragmenty, które mogą stać się podatnością, jeżeli przekazywane do nich dane nie są prawidłowo kontrolowane.

Secure Boot był wyłączony, a więc urządzenie nie korzystało z mechanizmu pozwalającego kontrolować podczas uruchamiania, czy ładowane oprogramowanie zostało poprawnie zweryfikowane kryptograficznie.

Wątpliwości dotyczą również oprogramowania pomiarowego

NBÚ zwrócił uwagę na kolejną nietypową kwestię. Panel administracyjny pokazywał sumę kontrolną SHA-1, która zgodnie z dokumentacją miała potwierdzać integralność certyfikowanego programu odpowiedzialnego za pomiar.

Według analizy suma należała jednak do niewielkiego pliku znajdującego się w oprogramowaniu urządzenia. Plik był uszkodzony i przygotowany dla innej architektury procesora: kamera pracowała na 64-bitowej platformie ARM, podczas gdy sprawdzany plik był przeznaczony dla 32-bitowej architektury i386. W konsekwencji nie mógł być faktycznym programem pomiarowym wykonywanym przez kamerę.

Inna kamera była wcześniej dostępna przez internet

Sprawa ma też osobny wątek dotyczący urządzenia znajdującego się przy siedzibie firmy Soitron przy ulicy Plynárenskiej w Bratysławie. Administrator sieci Ján Neuročný znalazł je w marcu 2026 r. za pośrednictwem wyszukiwarki Shodan. Strumień obrazu był wówczas publicznie dostępny bez dodatkowego uwierzytelnienia. Kamera pokazywała ulicę, przejeżdżające samochody, ich tablice rejestracyjne oraz pieszych. Dane zapisane w certyfikacie urządzenia wskazywały na firmę Simicon z Petersburga, a w polu opisu znajdowało się określenie „Photo radar”.

Nie była to jednak jedna z dwóch kamer sprzedanych Ministerstwu Spraw Wewnętrznych. Według Soitronu urządzenie w tym czasie znajdowało się pod zarządem podwykonawcy i było wykorzystywane na potrzeby procesu certyfikacji.

Ministerstwo wycofało oba radary z testów

Słowacki resort spraw wewnętrznych kupił dwa testowe urządzenia. Jedno znajdowało się przy autostradzie D2 w rejonie Jarovców, drugie przy ulicy Hlbokiej w Trnawie. Ministerstwo podkreśla, że podczas testów kamery nie były połączone z bazami zawierającymi dane wrażliwe i nie służyły do właściwego rozpatrywania wykroczeń drogowych.

10 sierpnia ministerstwo nakazało natychmiastowe usunięcie obu urządzeń z testów. Następnie minister spraw wewnętrznych – Matúš Šutaj Eštok – poinformował o zakończeniu współpracy z firmą Soitron przy tym projekcie. Dostawca zwrócił pieniądze za kamery, a urządzenia ponownie stały się jego własnością.

NBÚ wydał także ostrzeżenie dotyczące urządzeń NERO R-ONE oraz mierników serii Cordon oferowanych przez rosyjski Simicon i chorwacki NEROline. Urząd zwrócił uwagę między innymi na niejasne pochodzenie części sprzętu i oprogramowania, różnice między dokumentacją a rzeczywistą konfiguracją interfejsów oraz mechanizmy zdalnego zarządzania, nad którymi użytkownik nie ma pełnej kontroli.

Nie ma dowodów, że dane trafiały do Rosji

Wnioski z analizy są poważne, ale wymagają istotnego rozróżnienia. Nie wykazano, że ktokolwiek rzeczywiście wykorzystał odnalezione mechanizmy do przejęcia kontroli nad radarami ani że urządzenia przesyłały informacje do Rosji.

Nie ustalono też publicznie, do kogo należało wszystkich 12 zapisanych rosyjskich numerów telefonicznych. Mogły być związane z producentem, serwisem lub innym podmiotem. Samo ich istnienie wraz z nieudokumentowanym modułem komunikacyjnym i dodatkowymi sposobami zdalnego dostępu było jednak jednym z elementów, które doprowadziły słowacki NBÚ do ostrzeżenia przed ryzykiem związanym z tym sprzętem.