„Cheia chinezească” din IT, pe înțelesul tuturor

Ascultă articolul

Ionuț-Eugen IONIȚĂ ■

Un monitor medical care putea fi controlat de la distanță, routere livrate cu o „ușă din spate” și camere de pe ambarcațiuni ale Royal Navy care comunicau cu China. Ce știm cu certitudine și unde încep exagerările.

În ianuarie 2025, autoritățile americane au avertizat spitalele în legătură cu un monitor de funcții vitale produs de compania chineză Contec Medical Systems că putea fi controlat de la distanță de o persoană neautorizată. Dispozitivul conținea o funcție ascunsă, descrisă oficial drept „backdoor”, și odată conectat la internet putea colecta și scoate din rețeaua medicală date personale și medicale ale pacientului.

În august 2026, cercetătorii au găsit în peste 20 de modele de routere chinezești mărcile Zbtlink și Wiflyer un alt mecanism ascuns. Routerele contactau singure un server extern și puteau primi comenzi cu drepturi complete asupra sistemului.

Tot în august 2026, o verificare de securitate a Ministerului britanic al Apărării a descoperit că anumite camere montate pe ambarcațiunile fără echipaj K3 Scout ale Royal Navy trimiteau semnale automate către o adresă din China. Nu au fost găsite dovezi că informații militare sensibile ar fi părăsit sistemele britanice.

Sunt trei cazuri foarte diferite. Unul privește siguranța pacientului, altul infrastructura IT, iar al treilea echipamente militare.

Au însă ceva în comun: proprietarul dispozitivului nu era singurul care avea, cel puțin tehnic, acces la ceea ce se întâmpla în interiorul aparatului acesta fiind sensul metaforei „cheia chinezească” căci s-a dovedit că după ce cumpărăm un dispozitiv Made in Peoples Republic of China, mai există o terță parte care păstrează o cheie?

Monitorul medical care putea fi controlat din exterior

Cazul Contec CMS8000 este probabil cel mai ușor de înțeles, tocmai pentru că implicațiile lui depășesc lumea calculatoarelor.

CMS8000 este un monitor folosit pentru afișarea funcțiilor vitale ale pacientului: temperatură, puls, tensiune arterială și alte valori pe care personalul medical le urmărește pentru a vedea dacă starea bolnavului se schimbă.

La 30 ianuarie 2025, Food and Drug Administration (FDA), autoritatea americană care supraveghează inclusiv dispozitivele medicale, a publicat un avertisment neobișnuit de sever în legătură cu identificarea a trei probleme la eacest echipament. Monitorul putea fi controlat de la distanță de o persoană neautorizată. Software-ul conținea o funcție ascunsă, descrisă de autorități drept „backdoor”. Iar după conectarea la internet dispozitivul începea să colecteze date despre pacient și să le transmită în afara mediului medical.

În limbaj obișnuit, „backdoor” înseamnă o intrare care ocolește mecanismele normale de securitate.

FDA avertiza că un atacator ar fi putut prelua controlul monitorului și provoca acțiuni nedorite, inclusiv alterarea datelor afișate. Autoritatea le-a recomandat medicilor să fie atenți la eventuale diferențe între valorile afișate pe ecran și starea reală a pacientului. Mai multe monitoare vulnerabile aflate în aceeași rețea puteau fi afectate simultan.

Aici discuția despre securitatea cibernetică devine foarte concretă.

Nu mai vorbim doar despre o parolă furată sau despre cineva care vede niște fișiere. Vorbim despre un aparat pe baza căruia un medic poate lua o decizie privind un pacient.

FDA precizează un lucru important: nu avea cunoștință despre incidente în care aceste vulnerabilități să fi provocat rănirea sau moartea unui pacient. Existența vulnerabilității și exploatarea ei într-un atac real sunt două lucruri diferite.

Riscul a fost totuși considerat suficient de serios încât soluția software publicată în iulie 2025 să elimine complet funcțiile de rețea ale dispozitivelor afectate. După actualizare, monitoarele puteau fi folosite numai local, lângă pacient.

Este un detaliu greu de ignorat: pentru a rezolva problema, conectivitatea a fost practic scoasă din ecuație.

Routerele Zbtlink: o „ușă din spate” livrată odată cu produsul

Dacă monitorul medical arată ce poate însemna un risc cibernetic pentru pacient, cazul Zbtlink arată ce poate însemna pentru o întreagă rețea.

Pe 5 august 2026, compania de securitate VulnCheck a publicat rezultatele unei analize asupra unor routere produse de Shenzhen Zhibotong Electronics, cunoscută și sub marca Zbtlink. Aceleași echipamente sunt comercializate în unele cazuri și sub numele Wiflyer.

Cercetătorii au găsit în firmware un program care încerca permanent să contacteze un server de comandă.

Firmware-ul este, simplificat, sistemul de operare din interiorul unui dispozitiv. Este software-ul care îi spune routerului cum să funcționeze.

Programul găsit de VulnCheck purta un nume care îl făcea să semene cu un proces normal de Linux. În realitate, cercetătorii spun că era un instrument de control de la distanță care rula cu cele mai mari privilegii disponibile.

Routerul iniția singur conexiunea.

Serverul putea apoi trimite comenzi sau solicita deschiderea unui terminal prin care dispozitivul putea fi controlat.

Pentru un utilizator fără experiență tehnică, comparația cea mai simplă este aceasta: ai cumpărat o casă, ai schimbat încuietoarea de la intrare, dar descoperi ulterior că există o altă ușă despre care nu știai și care poate fi deschisă din exterior.

În cazul unui router, miza este cu atât mai mare cu cât prin acel dispozitiv trece comunicația calculatoarelor, telefoanelor, camerelor și a altor aparate din rețea.

VulnCheck a confirmat prezența mecanismului în 21 de imagini firmware. Cercetătorii au recomandat înlocuirea dispozitivelor folosite pentru trafic important sau, cel puțin, izolarea lor strictă.

Zbtlink a răspuns că funcția fusese creată pentru suport tehnic la cererea clienților și că nu fusese utilizată pentru acces neautorizat. Compania a suspendat ulterior vânzarea modelelor afectate și a retras firmware-ul în timp ce pregătea actualizări.

Asta nu dovedește că producătorul a spionat utilizatorii.

Dovedește însă că mecanismul exista, era activ și putea permite controlul routerului.

Camere de pe ambarcațiunile Royal Navy care comunicau cu China

Al treilea caz central al acestei povești vine dintr-un loc în care asemenea surprize sunt greu de acceptat: echipamentele militare.

În timpul unei verificări de securitate cibernetică, Ministerul britanic al Apărării a descoperit că anumite camere instalate pe ambarcațiunile fără echipaj K3 Scout comunicau cu o adresă de internet din China.

K3 Scout sunt produse de compania britanică Kraken Technology Group. Royal Navy a cumpărat 20 de ambarcațiuni în cadrul Project Beehive, un program în valoare de 12,3 milioane de lire sterline. Ele sunt destinate supravegherii, instruirii și operațiunilor maritime.

Camerele conțineau componente fabricate în China.

Ce trimiteau?

Așa-numite mesaje „heartbeat”.

Numele este mai complicat decât funcția. Un heartbeat este un semnal foarte mic trimis periodic de un dispozitiv pentru a spune unui server: „sunt online și funcționez”.

Investigația nu a găsit dovezi că imaginile surprinse de camere, informațiile operaționale sau alte date sensibile ale Ministerului Apărării ar fi fost trimise în China. Ministerul britanic a precizat că sistemele sale nu au fost accesate sau compromise.

Kraken a anunțat, la rândul său, că vulnerabilitățile identificate au fost remediate.

Dar reacția autorităților spune multe despre importanța descoperirii: accesul la internet al camerelor a fost eliminat.

Cazul K3 Scout este poate cea mai bună demonstrație a diferenței dintre o problemă de securitate și o acuzație de spionaj.

Comunicarea cu China este confirmată.

Transmiterea secretelor militare nu este.

În schimb, incidentul ridică o întrebare dificilă pentru orice armată, companie sau instituție: știm cu adevărat ce fac toate componentele dintr-un sistem complex?

O ambarcațiune poate fi britanică, dar camerele, modemurile, cipurile și alte componente pot proveni de la zeci de furnizori din mai multe țări.

Telefoanele care trimiteau date personale

Problema nu se limitează la echipamente speciale.

În 2023, cercetători de la University of Edinburgh și Trinity College Dublin au analizat versiuni chinezești ale sistemelor Android instalate pe telefoane Xiaomi, OnePlus și Oppo Realme.

Au identificat transmiterea unor informații care mergeau mult dincolo de simple statistici despre funcționarea telefonului.

Printre ele se aflau identificatori ai dispozitivului, adresa MAC, coordonate GPS, informații despre rețeaua mobilă, numărul de telefon, aplicațiile utilizate și, în anumite situații, date legate de apeluri și SMS-uri. Destinatarii includeau producătorii, China Mobile, China Unicom și servicii precum Baidu.

Unele dintre aceste transmisii aveau loc chiar și în scenariul unui utilizator care dezactivase analytics și personalizarea și nu utiliza serviciile cloud opționale.

Dar aici apare din nou nevoia de precizie.

Studiul privea firmware destinat în principal pieței chineze. Cercetătorii au constatat diferențe importante față de variantele globale și europene.

A spune că orice Xiaomi sau OnePlus cumpărat în România face același lucru ar fi o generalizare pe care studiul nu o susține.

Mașinile și autobuzele au devenit și ele calculatoare conectate

Automobilele moderne au GPS, camere, modemuri mobile, aplicații și sisteme care primesc actualizări prin internet.

Asta înseamnă că discuția despre cine poate comunica cu vehiculul și cine îl poate controla nu mai este teoretică.

În Norvegia, operatorul de transport Ruter a testat în 2025 un autobuz electric Yutong și unul VDL într-un mediu izolat.

În cazul autobuzului chinezesc Yutong, testele au arătat că producătorul avea acces digital direct pentru actualizări și diagnostic. Prin conexiunea mobilă exista acces la sistemele de control ale bateriei și alimentării. Ruter a concluzionat că, teoretic, autobuzul putea fi oprit sau făcut nefuncțional de producător.

Testul a stabilit însă și contrariul unei povești care s-ar putea răspândi foarte ușor online: camerele autobuzului nu erau conectate la internet, deci investigația nu a găsit un risc de transmitere a imaginilor pasagerilor.

Din nou, controlul de la distanță și furtul de date sunt probleme diferite.

Dar Huawei, Hikvision, TP-Link sau DJI?

Aici trebuie păstrată măsura. Mai multe companii chineze au fost restricționate în anumite state din motive de securitate națională sau de protecție a infrastructurilor critice. Există vulnerabilități, avertismente și preocupări serioase privind lanțul de aprovizionare, dar o interdicție guvernamentală nu este același lucru cu demonstrarea tehnică a faptului că un produs transmite pe ascuns date către China.

Pentru unele camere Hikvision au fost raportate comunicații către infrastructură din China. Asta nu demonstrează însă că toate camerele Hikvision trimit imaginile filmate către Beijing.

În cazul unor mărci precum Huawei, TP-Link sau DJI, existența unui risc de securitate trebuie analizată separat de afirmația că respectivul echipament a fost prins efectiv exfiltrând date.

Este o distincție importantă într-un subiect în care frica și geopolitica pot transforma rapid o vulnerabilitate reală într-o concluzie pentru care nu mai există dovezi.

Când devine transferul de date o problemă legală

Mai există o confuzie frecventă: dacă un dispozitiv trimite date în China, asta nu înseamnă automat că transferul este ilegal.

În cazul datelor personale ale cetățenilor europeni trebuie însă respectate regulile GDPR privind transferurile internaționale.

Situația devine mult mai complicată dacă organizația care utilizează aparatul nici măcar nu știe că informațiile părăsesc rețeaua.

Nu poți evalua legalitatea și riscurile unui transfer despre care nu știi că există.

Această problemă este cu atât mai importantă într-un spital, unde vorbim despre date medicale, sau într-o instituție publică, unde dispozitivul poate procesa informații sensibile.

NIS2 schimbă și modul în care trebuie privite achizițiile

Pentru organizațiile importante, întrebarea „de unde cumpăr echipamentul?” începe să fie înlocuită de una mai utilă: „ce face echipamentul după ce îl conectez?”.

Directiva europeană NIS2 cere măsuri privind securitatea lanțului de aprovizionare și relațiile dintre organizații și furnizorii lor. Evaluarea riscului nu se mai oprește la propriile servere și calculatoare.

Un spital care cumpără un monitor de pacient, o instituție care instalează camere sau o companie care achiziționează routere ar trebui să știe unde se conectează dispozitivele, ce date transmit și cine le poate administra de la distanță.

Nu este nevoie ca fiecare manager să înțeleagă protocoale de rețea.

Întrebările pot fi foarte simple. Unde pleacă datele? De ce trebuie să plece? Poate dispozitivul să funcționeze fără acces la internet? Cine îl poate controla de la distanță?

Dacă furnizorul nu poate răspunde clar, problema începe înainte ca aparatul să fie instalat.

„Cheia chinezească” există, dar nu în orice dispozitiv

Cazurile Contec, Zbtlink și K3 Scout etalează trei fețe diferite ale aceleiași probleme.

În primul caz, un monitor medical putea fi controlat de la distanță, iar datele pacienților puteau părăsi mediul medical. În al doilea, routerele erau livrate cu un mecanism care contacta singur un server și putea primi comenzi cu privilegii complete. În al treilea, componente ale unor camere instalate pe ambarcațiuni militare britanice transmiteau semnale către China, deși nu s-a demonstrat că informații militare sensibile au fost compromise.

Aceste exemple sunt suficiente pentru a demonstra că problema există dar nu pentru a concluziona că orice produs fabricat în China spionează. De fapt, una dintre lecțiile importante ale securității informatice este că vulnerabilități grave au existat și la dispozitive produse în Europa sau Statele Unite ale Americii (SUA). Diferența este că în cazul echipamentelor conectate la infrastructuri sensibile se adaugă problema controlului asupra furnizorului și a locului în care ajung informațiile.

De aceea, „cheia chinezească”, din titlu, trebuie înțeleasă ca o metaforă, nu ca o etichetă aplicată unei țări întregi. Întrebarea corectă ar trebui pusă oricărui aparat conectat la internet, indiferent unde a fost fabricat:

Ce date colectează, unde le trimite și cine mai are o cheie după ce noi l-am cumpărat?

Dacă această întrebare va deveni normală înaintea unei achiziții, cazurile descoperite în ultimii ani vor fi avut măcar un efect util: hardware-ul va începe să fie tratat nu doar ca un obiect pe care îl cumpărăm, ci ca o componentă a rețelei în care trebuie să știm permanent cine intră și cine iese.

[/responsivevoice]