Eslovaquia encuentra una backdoor SMS en radares: hardware ruso tras una placa de la UE
Cuando la Autoridad Nacional de Seguridad de Eslovaquia, conocida como NBÚ, decidió desmontar físicamente una de las nuevas cámaras de radar del país, esperaba inspeccionar un dispositivo europeo de tráfico. En su lugar, los analistas encontraron hardware fabricado por Simicon de San Petersburgo, vendido bajo otro nombre y equipado con un mecanismo oculto que podía dar acceso shell y de red a cualquiera que enviara un SMS desde uno de doce números rusos específicos. El hallazgo congeló un despliegue de 279 cámaras financiado por la UE por 30 millones de euros y desencadenó una alerta de seguridad que cubre tres líneas de producto distintas por toda Europa.
Una cámara renombrada con radios no documentadas
El dispositivo en cuestión se instaló como parte del despliegue NERO R-ONE de Eslovaquia, comercializado por SODASUS, un proveedor registrado en Chipre. Cuando los técnicos del NBÚ lo abrieron, el interior contaba otra historia: era un Simicon CORDON PRO.M, una línea de producto fabricada en San Petersburgo, Rusia. Según el reportaje de Niebezpiecznik, la unidad contenía dos módems celulares 3G/4G, pero solo uno estaba documentado en las especificaciones del producto o en la interfaz de gestión. El segundo módem era invisible para los administradores, dando a quien lo controlara un canal fuera de banda silencioso directo al dispositivo. Ese tipo de conectividad no documentada es exactamente lo que buscan los auditores de cadena de suministro - y exactamente lo que rara vez se revisa cuando el papeleo de compra muestra un proveedor europeo en la factura. La brecha física entre la empresa que vende un dispositivo y la fábrica que lo construye es donde la confianza se erosiona en silencio. La backdoor: doce números y un código de ocho dígitos
El hallazgo más alarmante estaba enterrado en la lógica del firmware más que en el hardware. La cámara mantenía una lista oculta de números de teléfono de administrador que nunca aparecía en el panel de gestión: nueve números móviles registrados en San Petersburgo, dos fijos de la misma ciudad y un número móvil de Kémerovo en Siberia. Un SMS que llegara de cualquier número de esa lista, seguido de un código de autenticación de ocho dígitos, abría acceso remoto al shell del dispositivo y a su red circundante. Como el disparador llega por la red celular a través del módem no documentado, evade firewalls, VPNs y cualquier otro control perimetral que un operador hubiera configurado. Como señala Security Affairs, el mecanismo podía plausiblemente permanecer latente durante años mientras aceptaba comandos en silencio, lo que hace la detección forense extremadamente difícil a posteriori. Nadie necesita explotar un bug de corrupción de memoria ni adivinar una contraseña; solo necesita saber el número correcto al que enviar un mensaje. Despliegue en pausa y Secure Boot apagado
La respuesta del NBÚ fue rápida. El despliegue de las 279 cámaras del proyecto financiado por la UE está en pausa pendiente de inspección, y las unidades afectadas fueron desactivadas. La agencia también reveló dos hallazgos adicionales que agravan la preocupación: Secure Boot estaba desactivado en los dispositivos, su cadena de arranque no podía verificar criptográficamente que el firmware cargado al inicio no hubiera sido manipulado, y las transmisiones de vídeo en vivo de las cámaras estaban expuestas sin protección adecuada. Una cámara que vigila carreteras públicas es en sí misma un activo de inteligencia; transmisiones sin autenticar significan que terceros podían potencialmente ver grabaciones destinadas a la vigilancia de tráfico. Como reporta Tom's Hardware, el NBÚ emitió una alerta que cubre no solo el despliegue eslovaco sino tres líneas de producto relacionadas: el SODASUS NERO R-ONE distribuido desde Chipre, la propia serie Cordon de Simicon y las NEROline de Croacia construidas sobre la misma plataforma Cordon. Cualquier operador con equipos de estas familias ha sido efectivamente advertido de asumir compromiso hasta prueba en contrario. La lección de cadena de suministro escondida a plena vista
Este incidente es un caso de manual de por qué la procedencia del hardware pesa tanto como las actualizaciones de software. Las cámaras se compraron por canales legítimos, facturadas por una entidad europea y desplegadas con fondos públicos. En ningún momento el papeleo reveló que el producto central venía de un fabricante del país cuyos servicios de inteligencia los gobiernos europeos defienden activamente. Renombrar marcas anula cualquier filtro de compras que dependa solo de nombres de marca. Para operadores de cualquier infraestructura conectada, las lecciones prácticas son concretas. Exige divulgación completa de componentes e interfaces de radio documentadas antes de comprar. Verifica que las funciones de integridad de arranque como Secure Boot estén realmente activadas, no solo disponibles. Trata cualquier módem, puerto serie o interfaz inalámbrica no documentada como descalificante hasta que se explique. Y audita los paneles de gestión contra la realidad: si el dispositivo acepta comandos que su propia interfaz no muestra, no controlas completamente tu propio hardware. Por qué esto importa más allá del tráfico
Una cámara de radar suena trivial junto a redes eléctricas o conmutadores de telecom, pero la arquitectura es idéntica: Linux embebido, conectividad celular, enlaces de internet permanentes y colocación en lugares públicos físicamente accesibles. Una flota comprometida de dispositivos de carretera ofrece posiciones de entrada hacia redes municipales, una plataforma para vigilar los vehículos que pasan, o simplemente la demostración de que la infraestructura crítica es alcanzable a voluntad. La pregunta de los 30 millones de euros que ahora enfrenta Eslovaquia es si otras unidades de la flota contienen los mismos escuchas ocultos, y si la respuesta llegará antes de que las cámaras vuelvan a poner una multa. El hardware que no puedes auditar es hardware que quizá ya controla otra persona. Esta historia refuerza un principio al que volvemos una y otra vez: la seguridad empieza por saber exactamente qué corre en las máquinas de las que dependes, un tema que exploramos en nuestra guía de seguridad de dispositivos antes de Tor.
