СМИ: Дешевые китайские видеокамеры могут отправлять снятое прямо в РФ

Опубликованы результаты интересного расследования.

Недавно журналисты медиапроекта «Схемы» совместно с ИТ-специалистами провели эксперимент, который доказал, что тысячи видеокамер китайского производства являются опасными для Украины. Об этом пишет «Радио Свобода».

Журналисты-расследователи в конце 2023 года рассказали, что тысячи систем видеонаблюдения с московитским программным обеспечением Trassir работали на улицах городов Украины, частных объектах и могли передавать беспрепятственно данные в Москву.

Однако сейчас существует еще одна опасность — китайские видеокамеры, которые даже более массово используют в Украине. Прежде всего это камеры производства двух китайских компаний — Hikvision и Dahua. Кстати, импорт продукции этих компаний запрещен в США как «угроза национальной безопасности», а в Украине они внесены в перечень международных спонсоров войны.

Однако видеокамеры работают и продаются и из-за их дешевизны украинцы отдают им предпочтение, когда покупают камеры для бытового использования. Кроме того, они оказались и в гопсударственных системах безопасности, в частности в проекте «Безопасный город». В целом китайский технологический гигант Hikvision производит примерно 20% всех камер видеонаблюдения в мире, Dahua — 10% всех изделий. Ими массово пользуются во всем мире: в самом Китае, Московии, странах ЕС и др. В Украине их — сотни тысяч.

Почему это опасно

Первое, на что обратили внимание журналисты, — это то, что камеры, подключенные к интернету, сразу передают изображение на серверы китайского производителя. Куда может передаваться картинка и легко ли можно взломать защиту и подключиться к камере нелегально, например, с территории Московии?

Вместе с ИТ-специалистами «Схемы» провели эксперимент с камерами выпусков 2015, 2019 и 2023 годов. Самыми уязвимыми с технической точки зрения, конечно, оказались камеры первых двух выпусков. То есть такими, как подчеркнули специалисты, которые отправляют информацию на серверы китайского производителя и легче могут подвергаться хакерским атакам.

«Когда эту камеру подключили к интернету, она сразу начала соединяться со своими серверами. Сервис, который деанонимизирует IP-адреса, то есть связывает с физическим адресом, показал, что серверы находятся в Ирландии, а их владелец — американская компания Amazon. Китайская компания Hikvision арендует эти серверы, чтобы пользователи имели возможность передавать и хранить видео. Hikvision полностью контролирует эти серверы как производитель камер и софта», — пояснили ИТ-специалисты.

Как добавил эксперт «Лаборатории цифровой безопасности» Иван Антонюк, это стандартная практика, но в таком случае пользователь должен доверять производителю, который несет ответственность за конфиденциальность и безопасность.

А вот когда камеры подключили к телефону через интернет, то специалисты сразу увидели, что автоматически началась передача зашифрованной информации, а именно «ушли» регистрационные данные, а также логин и пароль пользователя на серверы, которые контролирует Dahua. Примечательно, что когда устройство отключили от сети, оно все равно продолжило попытки передавать данные.

«В таком случае информация идет на серверы, как мы видим, в Германии. Также через серверы идет и видеопоток», — комментирует исполнительный директор «Лаборатории компьютерной криминалистики» Сергей Денисенко.

Камера, произведенная в сентябре 2023 года, как утверждают специалисты, более защищена. Например, не позволяет установить простой пароль — что сложнее для взлома. Во время эксперимента при подключении к сети камера не передавала сразу данные об устройстве или пользователе или другие регистрационные данные. Но когда пользователь подключается к облачному хранилищу с помощью интернета — видеопоток все равно попадает на серверы производителя.

Кроме того, по данным ИТ-специалистов, часть зашифрованной информации с камеры идет на сервер Chinanet в Китае, а это серверы гопсударственной китайской компании China Telecom, которая является одним из лидеров на рынке предоставления интернет-услуг в Китае.

«Наши специалисты убеждены, что при использовании такого сервиса доступ к камерам при необходимости могут с легкостью получать представители производителя. Учитывая отношения Китая и Московии сейчас, это может нести определенные риски безопасности», — подчеркивает Сергей Денисенко.

«Безопасный город»

Итак, в том, что производитель программного обеспечения все еще сохраняет возможность доступа к любому устройству, подключенному к сети интернет, и есть главный риск, говорят в «Лаборатории компьютерной криминалистики». Ключевой предохранитель — пользоваться устройствами без интернета, в изолированной локальной сети, но в основном это доступно частному бизнесу или гопсударственным структурам, а не бытовым пользователям.

Именно такая сеть, как утверждают в Министерстве внутренних дел, настроена в системе «Безопасный город». То есть в основе «Безопасного города» камеры и софт Hikvision и Dahua, но закрытая сеть якобы защищает от отправки информации с устройств на серверы производителя.

«В системах видеонаблюдения, подобных системе «Безопасный город», администраторами и владельцами которых являются органы местной власти, работает около 24 тысяч камер Dahua и Hikvision. Именно к такому количеству камер имеют доступ центральные органы исполнительной власти системы МВД. Это составляет 74% всех камер такой категории», — сообщили в министерстве в ответ на запрос журналистов.

Однако специалисты по кибербезопасности по просьбе «Схем» проверили устройства на уязвимость перед хакерскими атаками. Так, специалисту, который смоделировал процесс «взлома» одной из камер Hikvision, на это понадобилось около 15 минут.

«С помощью специального программного обеспечения мы видим, что хакер может оперативно получать доступ к камерам видеонаблюдения. Если у камеры ненадлежащая настройка безопасности (например, отсутствие сложных паролей, открытое соединение с интернетом, незащищенные роутеры), то злоумышленник может как следить за тем, что фиксирует камера, так и сохранять эту информацию для дальнейших действий», — объясняет действия IT-специалиста Сергей Денисенко.

Таким образом, говорят специалисты, и произошло 2 января 2024 года, в день массированной московитской атаки по украинским городам. Тогда в СБУ сообщили, что обнаружили камеры в столице, установленные на частных домах, которые транслировали работу украинской ПВО и локации критической инфраструктуры. Это камеры наружного наблюдения, которые, по данным силовиков, взломали московитские спецслужбы. Всего за время полномасштабного вторжения, по данным СБУ, им удалось заблокировать более 10 тысяч камер видеонаблюдения, которые московитские спецслужбы могли использовать для шпионажа.

На Западе и в США китайские камеры почти запрещены

В 2021 году Федеральная комиссия по связи США (FCC) — регулятор в области телекоммуникаций — определила пять китайских компаний, угрожающих национальной безопасности США. Hikvision и Dahua — в этом списке.

Двумя годами ранее, в 2019-м, администрация тогдашнего президента США Дональда Трампа внесла компанию Hikvision в санкционный список и впоследствии в стране запретили установку продукции этой компании на гопсударственных объектах. К похожим ограничениям позже также прибегли в других странах.

«Единственная другая известная мне страна, которая полностью запретила их использование для гопсударственных нужд — Тайвань. Существуют различные примеры в Британии и Австралии, где камеры Dahua или Hikvision были изъяты из обращения по соображениям безопасности. Некоторые региональные органы власти в Великобритании запретили их, а сама страна запретила их на «чувствительных объектах», находящихся под управлением правительства, но они еще не ввели полный гопсударственный запрет», — рассказывает Конор Гили, директор американской организации Internet Protocol Video Market (сокращенно IPVM).

Национальный институт стандартов и технологий США регулярно сообщает о новых найденных уязвимостях, которые дают возможность получить доступ к устройствам, в частности в изделиях Hikvision и Dahua. Последний такой отчет датируется декабрем 2023 года. Одна из главных причин такого пристального внимания — это то, что власти Китая в соответствии с их действующим законодательством обязали компании предоставлять гопсударству всю информацию, которую они считают необходимой для контрразведывательной деятельности.

«Нынешнее законодательство Китая, особенно то, что было обновлено в 2023 году, обязывает абсолютно всех граждан страны, собирать разведданные и передавать их гопсударству. Мы видели, что там был усилен так называемый закон о контршпионаже, согласно которому вся китайская нация должна быть мобилизована для служения интересам национальной безопасности Китая. И в отношении технологических компаний в первую очередь — они как раз те центральные организации, которые передают сведения», — рассказывает Артур Харитонов, руководитель ОО «Либерально-демократическая лига Украины», следящей за политикой Китая.

Кто такие Hikvision и Dahua

Как показывает анализ структуры этих фирм, утверждает Харитонов, гопсударство в обеих компаниях является совладельцем. Наибольшая доля в Hikvision (почти 37%), по данным Bloomberg по состоянию на 2023 год, принадлежит CET Hik Group, которой, в свою очередь, на 100% владеет гопсударственная China Electronic Technology Corporation Group (CETC). Эта гопсударственная компания известна тем, что занимается разработками в оборонной промышленности Китая, а именно разработкой радаров, систем РЭБ и БПЛА.

Похожая ситуация и с компанией Dahua, где значительную долю (почти 9%) имеет гопсударственная China Mobile, хотя крупнейшим совладельцем и директором компании является китайский миллиардер Фу Ликуань. Более того, в 2022 году в США обе компании Dahua и Hikvision, а также их гопсударственных совладельцев China Mobile и CETC признали китайскими военными компаниями.

Китай и Московия — насколько велик риск слива информации

Украинские и зарубежные СМИ неоднократно писали, что существует риск передачи в РФ информации с китайских устройств, которыми массово пользуются как в Украине, так и в других странах.

«Безусловно, они обмениваются сведениями, мы это понимаем. Потому что существует огромная система московитско-китайских соглашений в сфере безопасности. Они подписываются несколько раз в год как минимум. Последние, самые масштабные соглашения были подписаны во время визита Си Цзиньпина в Москву, в октябре 2023-го уже Путин был в Пекине, где тоже заключались соглашения об определенных обязательствах с обеих сторон. Но сейчас Китай понимает риски открытого сотрудничества с РФ и, как мы видим, частично скрывает свои действия, чтобы это не мешало их «экспансионной кампании» по продвижению своей продукции на мировом рынке», — подчеркивает Артур Харитонов.

Хотя Китай декларирует вроде бы нейтральность в отношении московитско-украинской войны, но о сотрудничестве двух стран в военной сфере свидетельствуют как совместные военные учения и заявления об «углублении сотрудничества», так и регулярные визиты секретаря Совета национальной безопасности РФ Николая Патрушева в Китай.

Китай был и остается крупнейшим поставщиком подсанкционной электроники в Московию. Эта продукция впоследствии попадает в московитскую военную технику, рации и ракеты. Кстати, по данным пекинской редакции Reuters, в 2023 году общая сумма импорта-экспорта между РФ и Китаем составила рекордные 240 миллиардов долларов — это почти на четверть больше, чем годом ранее.

Американская разведка в своем отчете за 2023 год прямо сообщает о том, что Пекин применяет различные механизмы экономической поддержки Московии. Поэтому учитывая такое сотрудничество, особенно в военной сфере, безусловно Китай способен, считает Харитонов, использовать свои технологии и устройства для передачи украинских данных в РФ.

«Также для этого существует договорная основа — установление «военного побратимства» между КНР и РФ и соответствующая инфраструктура — присутствие представительства Министерства гопсударственной безопасности Китая в Москве», — отмечает представитель «Либерально-демократической лиги Украины».

Как обезопасить распространение китайской продукции

Прежде всего это определение дистрибьюторов продукции Hikvision и Dahua. Для первой таковыми считаются три компании — «Виатек», «НПО Инфотех» и «Мир камер». Все три компании связаны между собой через владельцев. Еще в 2018 году издание «Наші гроші» опубликовало расследование о том, как украинские поставщики помогают «выстроить искусственную монополию» на уличное видеонаблюдение Киева под конкретного производителя через гопсударственные закупки. Среди них упоминаются первых два дистрибьютора. В 2023 году компания «Мир камер» уже попала в перечень фирм, которые Бюро экономической безопасности считает причастными к хищению бюджетных средств при построении системы видеонаблюдения в Киеве. Следствие по этому делу продолжается. В компании эти обвинения не комментировали.

Еще одна фирма «Инжениринг-Аналитика» в основном продвигает китайскую продукцию в Украине для крупных гопсударственных заказчиков. Например, эта компания обустраивала и обслуживает крупные гопсударственные системы видеонаблюдения в Киеве, Одессе, Львове, Черкассах, Ровно, Луцке, Кропивницком, Днепре и других городах Украины, а также сотрудничает с различными подразделениями, которые подчиняются Министерству внутренних дел — от полиции до пограничных служб.

Крупнейшим дистрибьютором камер от компании Dahua в Украину является компания «Торговый дом систем видеонаблюдения», которая, согласно данным данным Importgenius, с 2016-го до 2023 года поставила более 1 миллиона устройств видеонаблюдения. Эта компания также связана с упомянутыми фирмами «Виатек» и «Мир камер» через руководство и владельцев, но в апреле 2023 года фирма прекратила свою деятельность.

В Министерстве внутренних дел журналистов «Радио Свобода» заверили, что «после попадания указанных компаний в перечень международных спонсоров войны МВД не рекомендует и не согласовывает соответствующие закупки». И заявляют, что уже работают над тем, чтобы заменить устройства.

«С целью централизации всех имеющихся систем видеонаблюдения МВД разработан соответствующий проект закона Украины «О единой системе видеомониторинга состояния публичной безопасности», который сейчас уже находится в Верховной Раде Украины. Предполагается, что такая система будет построена на программном обеспечении, приобретенном для МВД в 2021 году в рамках проекта «Безопасная страна». Производителями программного решения являются Украина и Израиль», — подчеркивает МВД.

Кроме того, в Украине при Госспецсвязи есть структура, которая называется Computer Emergency Response Team of Ukraine, или Команда реагирования на компьютерные чрезвычайные события Украины. Как пишут журналисты «Схем», они публично пишут на официальном сайте о технических уязвимостях, которые находят в различных устройствах иностранных компаний, например, таких как Cisco, Microsoft, Apple и др. Но никаких упоминаний — о Hikvision или Dahua. «Схемы» обратились в ведомство с вопросом, проводили ли такие проверки в отношении устройств этих двух китайских производителей.

Также журналисты направили запросы непосредственно к компаниям Hikvision и Dahua с вопросами о безопасности для пользователей, которые имеют такие устройства, а также о сотрудничестве с Московией. Редакция ждет ответа.

Отдельно журналисты обратились с запросами в Офис президента, Кабмин, СБУ и СНБО с вопросами: какова гопсударственная визия относительно оборота в стране сотен тысяч китайских камер, информация с которых может попадать к власти КНР, а от нее, не исключено, в Московию? Существует ли план по постепенному отказу и изъятию китайской технологии из Украины? Редакция тоже ждет ответа.

А пока что для простого потребителя, который имеет такую камеру у себя дома, специалисты по кибербезопасности советуют, как минимум, изменить заводские настройки безопасности, использовать сложные и дополнительные пароли. И напоминают о том, что китайский производитель оставляет за собой прямой доступ к информации с устройств — как только камера подключается к интернету.