279 radars financés par l’UE embarquaient un module relié à douze numéros russes : un SMS suffisait à en prendre le contrôle

Le service national de sécurité slovaque (NBU) a identifié des failles critiques dans 279 radars NERO R-ONE récemment installés, financés par un projet à 30 millions d’euros. L’expertise révèle un module caché relié à douze numéros russes et des flux vidéo accessibles sans mot de passe.

À lire aussi :

• Numéros de sécurité sociale et coordonnées bancaires : près de 750 000 clients de Heights Finance touchés par une fuite révélée trois mois après
• Une porte dérobée dans un pilote téléchargé depuis le site officiel : Geekom retire le paquet réseau de six gammes de mini-PC

Module backdoor lié à 12 numéros de Saint-Pétersbourg et Kemerovo

Le rapport technique du NBU décrit un module non documenté intégré au firmware, configuré pour recevoir des commandes via SMS provenant d’une liste fixe de douze numéros russes, identifiés comme appartenant aux régions de Saint-Pétersbourg et de Kemerovo.

NSA, CISA, FBI, DOE et EPA signent le premier avis officiel décrivant des scripts d’attaque écrits par IA contre les automates Siemens S7

Selon l’analyse, l’envoi d’un SMS contenant un mot de passe déclenche l’exécution de code arbitraire, offrant à un opérateur distant un contrôle total de l’appareil : réglage d’angle, déclenchement, modification des logs et exfiltration possible des enregistrements.

Le mécanisme fonctionne indépendamment du réseau local utilisé par le ministère, ce qui signifie qu’une connexion cellulaire simple suffit pour activer la porte dérobée sur les unités vulnérables.

Face à ces éléments, le NBU a immédiatement désactivé les 279 unités concernées pour empêcher tout accès externe. L’impact opérationnel porte sur des points de contrôle routier stratégiques répartis sur le territoire.

Flux vidéo exposés sans authentification par adresse IP

L’expertise a révélé une seconde faille majeure : les flux vidéo en direct sont accessibles sans authentification dès que l’on connaît l’adresse IP de l’appareil.

Les interfaces web de gestion manquent de contrôle d’accès robuste, et la fonction SecureBoot est désactivée, ce qui empêche la vérification de l’intégrité du firmware au démarrage.

Concrètement, toute personne ayant une liste d’adresses IP publiques ou pouvant scanner des plages réseau peut consulter les images en temps réel et, selon le NBU, récupérer des vidéos archivées.

Ces failles posent un risque pour la vie privée des usagers et pour la sécurité des opérations routières, surtout sur des axes à fort trafic où les caméras surveillent incidents et infractions.

Radars rebrandés : CORDON PRO.M de Semicon identifiés

Le NBU affirme que les NERO R-ONE sont en réalité des caméras russes CORDON PRO.M, produites par l’entreprise Semicon de Saint-Pétersbourg, puis rebrandées pour la vente.

Les éléments matériels et signatures firmware concordent avec des modèles connus, ce qui alimente l’hypothèse d’une transaction commerciale masquée par un rebranding et des documents techniques altérés.

Le marché d’achat, d’un montant publicisé proche de 30 millions d’euros, a été attribué à la société chypriote Sodasus, présentée comme fournisseur, au travers d’un contrat direct sans appel d’offres.

Des vérifications documentaires menées en parallèle par le NBU ont relevé des certifications factices fournies par Sodasus, déclenchant des investigations administratives et pénales à venir.

Un million de dollars en séquestre et le feu vert de deux ministères : Washington ouvre une brèche dans la loi qui interdisait le piratage privé

Réactions gouvernementales et mesures immédiates

Le ministère de l’Intérieur a interrompu le déploiement et demandé un audit indépendant pour confirmer les conclusions techniques du NBU.

Officiellement, le ministère avait invoqué un réseau fermé pour limiter les risques, mais l’existence d’une porte dérobée liée au canal SMS et des flux accessibles par IP invalide cette garantie.

Des sources internes indiquent que les unités désactivées resteront hors service le temps d’une expertise complémentaire et d’un remplacement sécurisé, ce qui affecte la couverture surveillance sur des tronçons choisis.

Sur le plan juridique, l’achat via une société-écran et l’utilisation de composants à provenance étrangère soulèvent des questions sur la conformité aux règles d’achat public et aux exigences de sécurité des projets financés par l’Union européenne.