La NBÚ eslovaca alerta de radares de velocidad vulnerables que exponen datos y permiten acceso remoto a redes públicas. El aviso, recogido por Security Affairs, no va de borrar una multa de tráfico: va de dispositivos conectados que recopilan datos, se comunican con otros sistemas y pueden incorporar funciones de acceso remoto que el operador no controla del todo.
El análisis de la Autoridad Nacional de Seguridad de Eslovaquia se centró en una muestra del sistema de cámaras NERO R-ONE a petición del Ministerio del Interior. El organismo citó tres líneas de producto: los dispositivos NERO R-ONE vendidos por la chipriota SODASUS, las cámaras de la serie Cordon fabricadas por la rusa Simicon y los productos Cordon comercializados por NEROline desde Croacia. La conexión rusa añade una dimensión geopolítica evidente, pero no debe sustituir al análisis técnico.
Qué ha detectado la NBÚ: hardware sin trazabilidad y acceso remoto preconfigurado
Los hallazgos van más allá de un simple problema de configuración. La NBÚ encontró diferencias entre los ajustes de comunicación documentados y los reales, incertidumbre sobre el origen del hardware y del software, versiones que no coincidían con las declaradas y protecciones de seguridad débiles. Encontró mecanismos de acceso remoto y de gestión preconfigurados fuera del control total del cliente. Ese último punto merece una pausa.
Un radar de carretera debería ser gestionado por la organización que lo posee, bajo controles que pueda inspeccionar, configurar y auditar. Si un dispositivo incluye mecanismos de acceso remoto o de gestión predefinidos fuera de ese control, se crea un punto ciego en un sistema que puede estar conectado a una red del sector público o comunicarse con otros servicios operativos.
La anatomía del riesgo: de la cámara al backend policial
Los radares de velocidad hacen mucho más que fotografiar vehículos y medir la velocidad. Registran matrículas, almacenan pruebas, procesan datos de vehículos y envían información a los sistemas traseros que utilizan las autoridades. Según su configuración, también pueden conectarse a redes móviles, equipos de carretera, sistemas policiales, plataformas municipales o servicios de mantenimiento de terceros.
Si un atacante comprometiera una cámara, podría acceder a los datos, modificar o eliminar registros, manipular la medición de infracciones o apagar el dispositivo. La cámara comprometida sirve de puente hacia otros sistemas si la red carece de una segmentación adecuada.
La cámara no era el objetivo: era la puerta de entrada que nadie vigilaba.
El radar puede no ser el objetivo real: puede ser simplemente la puerta sin cerrar.
Dossier Merca2: Ojos en la Sombra
El vector de amenaza es una vulnerabilidad de ciberseguridad en infraestructura crítica. La atención no está en un ransomware ni en un zero-day de una APT conocida, sino en dispositivos de bajo perfil conectados a redes operativas. La NBÚ no afirmó que cada cámara estuviera espiando activamente ni que el equipo contuviera una puerta trasera probada. Su aviso apunta a riesgos identificados, control limitado del operador, incertidumbre sobre la procedencia del hardware y del software y mecanismos de gestión remota que no pudieron explicarse por completo. Eso, por sí solo, ya justifica actuar.
Las agencias implicadas se reparten entre quien alerta y quien genera el riesgo. En el lado defensor, la NBÚ eslovaca actúa como autoridad nacional de ciberseguridad. En el lado del riesgo, la rusa Simicon fabrica la serie Cordon, mientras SODASUS (Chipre) y NEROline (Croacia) comercializan los equipos. La ENISA y el CCN-CERT español observan de cerca, porque el patrón es replicable en cualquier país de la UE. No es solo un problema eslovaco: es una advertencia para las infraestructuras europeas.
El nivel de clasificación estimado es Sin Clasificar pero Sensible. No hay material robado ni filtración masiva: hay un análisis de seguridad sobre dispositivos comerciales. El precedente histórico que conviene recordar es Stuxnet, el primer gran ciberataque contra infraestructura física lanzado contra la planta nuclear de Natanz en 2010. Entonces el objetivo eran centrifugadoras; hoy el vector puede ser cualquier dispositivo conectado que nadie ha auditado.
La lección se repite casi quince años después.
Lo veo así: el hallazgo eslovaco me recuerda algo que escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. No hará falta una central nuclear ni un ejército. Bastará con una cámara de tráfico mal asegurada, un contrato de mantenimiento opaco y una red pública sin segmentar. La inteligencia de señales ya no solo intercepta comunicaciones; también audita la cadena de suministro de los dispositivos que cada Estado despliega en sus calles.
La lectura confidencial tiene una contradicción evidente: ningún servicio europeo quiere admitir que los radares rusos siguen instalados en sus carreteras tras 2022, pero tampoco quiere pagar el coste político y presupuestario de de una sustitución masiva inmediata. Eslovaquia ha retirado los equipos de su despliegue piloto y ha pedido al proveedor que los sustituya por dispositivos que cumplan los requisitos legales, técnicos y de seguridad eslovacos y europeos. Otros países de la UE harán un inventario silencioso antes de decidir si siguen el mismo camino.
Le pongo en contexto: la Directiva NIS2 de la UE obliga a los Estados miembros a elevar la seguridad de servicios esenciales e infraestructuras críticas. Los radares de tráfico conectados entran de lleno en esa categoría cuando se integran en redes municipales o policiales. La próxima auditoría de dispositivos conectados en carreteras europeas dirá cuántos Estados han hecho los deberes. Y sospecho que el resultado no va a gustar en Bruselas.
