Chińskie Volvo szpiegowały ćwiczenia wojskowe w Norwegii, wykradały dane i kody dostępu
Samochody Volvo udostępniane na wynajem na rynku norweskim, a użytkowane przez siły zbrojne Królestwa Norwegii (!), okazały się szpiegować swojego użytkownika i wykradać wrażliwe dane go dotyczące. Modele Volvo XC60 i XC90 – obecnie, o czym warto pamiętać, produkt firmy, której właścicielem jest chiński koncern Geely – rejestrowały, jak się okazało, to, czego nie powinny.
Podczas wrześniowych manewrów „Hovedstad”, w którym 5 tys. żołnierzy norweskiej Gwardii Narodowej (Heimevernet) trenowało obronę lotniska Oslo na wypadek wojny, jeden z gwardzistów przypadkowo zajrzał w ustawienia wypożyczonego auta. Ku swemu dziwieniu znalazł funkcję nagrywania, o której nikt go nie uprzedził. Kamery rejestrowały wejścia i wyjścia z pojazdów, miejsca odbioru, trasy oraz czas postoju żołnierzy w poszczególnych punktach. Wisienką na torcie było jednak z pewnością to, że uchwyciły tez kody dostępu, które wraz z kartami dostępu trzeba było podać przy korzystaniu z bram do strzeżonych obiektów wojskowych. Do tego w kabinach są też przecież mikrofony, które też mogły to i owo nagrać.
Analiza urządzeń wykazała, że zewnętrzne i wewnętrzne sensory auta pozostawały aktywne nawet przy wyłączonym silniku, a pliki wideo zapisywano w nieskompresowanym formacie, z metadanymi lokacji GPS i czasem pobytu. W co najmniej jednym przypadku system pojazdu zachował lokalizacje odwiedzanych punktów zbornych wykorzystywanych przez norweskich żołnierzy. Oprogramowanie samochodów w wersjach eksportowych (tj. nie-chińskich) domyślnie aktywuje przy tym zdalne przesyłanie obrazów do chmury producenta. Brak lokalnego szyfrowania i brak możliwości wyłączenia modułu 4G/5G w tych modelach uniemożliwiają użytkownikowi skuteczną izolację danych – wyjąwszy fizyczny demontaż lub zniszczenie tych modułów.
Volvo oświadcza, zapewnia, tłumaczy – i szpieguje
To ostatnie jest oczywiście w dużej mierze niewykonalne w przypadku samochodów wynajętych, które muszą zostać zwrócone w stanie zbliżonym do wyjściowego. I najprawdopodobniej właśnie o to chodziło, żeby „nic się nie dało” z tym zrobić. Norweskie służby potwierdziły obecność podobnych nagrań w pamięci co najmniej kilkunastu samochodów zwróconych po okresie najmu. Po cóż kamery miałyby bez i wbrew woli użytkownika nagrywać to wszystko (pomijając oczywiście to, że każda firma usiłuje obecnie wykradać „zbierać” wszelkie możliwe i niemożliwe dane)? Wiele może tłumaczyć to, kto w efekcie uzyskał dostęp do wrażliwych danych norweskiej armii.
Właścicielem wypożyczonych aut Volvo jest otóż firma First Rent a Car Norway. Firma ta, działająca także pod marką Hertz, funkcjonuje w strukturach Volvo Cars. Którego z kolei kontrolującym udziałowcem jest chiński koncern Zhejiang Geely Holding Group, który posiada ok. 78,65 proc. akcji tego niegdyś szwedzkiego i „arcy-skandynawskiego” producenta. W ramach przypomnienia – wszystkie chińskie firmy z mocy tamtejszego prawa obowiązane są do przekazywania tamtejszym służbom oraz Chińskiej Armii Ludowo-Wyzwoleńczej wszystkich posiadanych danych oraz realizowania poleceń operacyjnych, które te zechciałyby im wydać.
W tym kontekście sprawa przedstawia się, jak można przypuszczać, nieco klarowniej. Oczywiście nie dla firmy – chińska firma nosząca nazwę dawnego szwedzkiego producenta wydała oświadczenie niepozbawione pewnej dozy tupeciku. Volvo Cars stwierdziła bowiem otóż, że i owszem, dane być może były zbierane – ale przecież przepisy prawa nie pozwalają na ich transfer do Geely i Chin bez wyraźnej podstawy. A to, zdaniem firmy, zupełnie załatwia sprawę. First Rent a Car dołożyła do tego własne oświadczenie, zapewniając, że działa zgodnie z prawem norweskim i europejskim – choć w jaki dokładnie sposób to robi, już nie sprecyzowano.
Pekin kradnie dane, i co mu zrobicie?
To przy tym nie pierwszy przypadek, w którym chińskie firmy do tego stopnia „zbierają dane” w Norwegii, że można to określić nieomal jako szpiegowskie panoszenie się w tym kraju. Głośna była sprawa autobusów elektrycznych chińskiej produkcji, które wbrew oficjalnej specyfikacji okazały się zawierać mechanizmy umożliwiające ich zdalną kontrolę oraz wyłączenie z Chin. Kontrowersje wzbudziła też kwestia działań firmy ByteDance, wówczas właściciela TikTok-a, która usiłowała dla swej serwerowni wykupić cały wolumen dostępnego lokalnie prądu – zostawiając, tak się jakoś przypadkowo złożyło, czołowego norweskiego producenta amunicji, koncern Nammo, bez dostatecznej podaży energii.
Za crème de la crème sytuacji można by uznać konsekwencje całej sprawy – gdyby te nie były zniechęcające. Choć fakt bezczelnego szpiegowania przez chińskie Volvo wyszedł na jaw, norweskie siły zbrojne… nie wycofały z użytku samochodów. Brakowało bowiem alternatyw, zaś pozbycie się ich poważnie ograniczyłoby możliwości prowadzenia szkolenia… Żołnierze skasowali nagrania z pojazdów, do których mieli dostęp, ale nikt nie potrafi ustalić, ile kopii krąży gdzie indziej i co dzieje się z danymi po ćwiczeniu. Można niestety założyć, że większość tych kopii najprawdopodobniej w ten czy inny sposób odnajdzie się w Pekinie. Chińskie firmy reagują jednak oburzeniem na sugestię, że ich pochodzenie stanowi zagrożenie dla bezpieczeństwa.
