Ekspansja rosyjskiego systemu inwigilacji

W kilku krajach Azji Centralnej (Kazachstanie, Kirgistanie oraz Uzbekistanie), w Ameryce Łacińskiej (na Kubie i w Nikaragui) oraz na Białorusi zdolności do cyfrowej inwigilacji są oparte na rosyjskim systemie SORM (Система Оперативно-Розыскных Мероприятий - System Operacyjno-Poszukiwawczy Wydarzeń). To tylko potwierdza, że rosyjskie technologie nadzoru przeniknęły do bliskiego sąsiedztwa kraju Putina i jego sojuszników. 

Najwięksi dostawcy SORM –– zwłaszcza Citadel, Norsi-Trans i Protei –– aktywnie sprzedają swoje rozwiązania i uczestniczą w targach technologicznych w Afryce, Ameryce Łacińskiej i na Bliskim Wschodzie, co dodatkowo pokazuje ich trwające wysiłki na rzecz globalnej ekspansji.

Eksport rosyjskiego systemu

Zespół zespól badawczy Insikt Group (działający w ramach Recorded Future, Inc.  amerykańskiej  prywatnej  firmy zajmującej się cyberbezpieczeństwem), w ramach projektu badawczego „Tracking Deployment of Russian Surveillance Technologies in Central Asia and Latin America”, przedstawił dowody wskazujące, że co najmniej ośmiu rosyjskich dostawców SORM eksportuje rozwiązanie do wymienionych wcześniej państw. Co więcej, przynajmniej piętnaście firm telekomunikacyjnych w tych krajach jest (lub było) najpewniej odbiorcami omawianej technologii. 

Choć w niektórych przypadkach wdrożenia mogą wynikać z realnych potrzeb związanych z bezpieczeństwem publicznym, rosyjscy klienci mają historię nadużyć w wykorzystaniu narzędzi inwigilacji. Często brakuje tam przejrzystych mechanizmów nadzoru, co pozwala na stosowanie systemów inwigilacji przeciwko opozycji politycznej, dziennikarzom czy aktywistom.

Ryzyko masowej inwigilacji

Pojawienie się i rozwój systemów SORM we wspomnianych państwach niemal na pewno zwiększa ryzyko masowej inwigilacji obywateli. Rozwiązania te pozwala bowiem na przechwytywanie szerokiego zakresu danych telekomunikacyjnych, przy czym operatorzy nie mają wglądu w działania władz. To minimalizuje potencjalną kontrolę i rozliczalność, a tym samym potęguje możliwość nadużyć. 

Jednocześnie istnieje wysokie prawdopodobieństwo, że Rosja sama może uzyskiwać dostęp do danych przechwytywanych w ramach SORM za granicą, biorąc pod uwagę powiązania producentów z putinowskimi służbami bezpieczeństwa i wywiadu, a także wysoką wartość wywiadowczą pozyskiwanych informacji.

Świadomość bycia inwigilowanym

Firmy rozważające otwarcie fizycznych biur, delegowanie pracowników albo podróże służbowe do krajów korzystających z systemów opartych na SORM powinny wdrożyć działania ograniczające ryzyko naruszenia prywatności i bezpieczeństwa danych. W jaki sposób?

Przede wszystkim zaleca się przeprowadzenie dokładnej analizy krajobrazu inwigilacji w określonym kraju, szczególnie pod kątem wcześniejszych przypadków prześladowania podmiotów gospodarczych czy cudzoziemców. Należy rozważyć korzystanie z szyfrowanych komunikatorów oraz wirtualnych sieci prywatnych (VPN) – o ile lokalne prawo na to zezwala – by zmniejszyć ryzyko przechwycenia wrażliwych komunikacji.

Rosyjska „zabawka" do inwigilacji. Kreml chce podbijać rynki

Eksperci Insikt Group w swojej publikacji pokusili się o przedstawienie kilku kluczowych wniosków dotyczących rosyjskiego SORM i jego wykorzystania na świecie.

• Rządy w krajach Azji Centralnej (Kazachstan, Kirgistan, Uzbekistan), w Ameryce Łacińskiej (Kuba, Nikaragua) oraz na Białorusi nabywają technologie inwigilacyjne od rosyjskich dostawców SORM, radykalnie zwiększając swoje możliwości w zakresie cyfrowego nadzoru.
• Rosyjskie firmy, takie jak Protei, promują swoje usługi w Afryce, Ameryce Łacińskiej oraz na Bliskim Wschodzie i prezentują je na regionalnych targach. Świadczy to o dalszym zainteresowaniu ekspansją na rynki poza Wspólnotę Niepodległych Państw.
• Obecność systemów opartych na SORM w danym kraju niemal zawsze oznacza, że rząd może przechwytywać ruch telekomunikacyjny i internetowy bez wiedzy dostawców usług. Powoduje to znaczne ryzyko nadużyć i ograniczenie przejrzystości.
• We wszystkich analizowanych państwach poziom nadzoru jest wysoki bądź bardzo wysoki; w przeszłości prowadziły one agresywną inwigilację obywateli i najpewniej monitorują też cudzoziemców uznanych za „interesujących".
• Firmy chcące prowadzić operacje lub podróże służbowe w tych krajach powinny ograniczyć ryzyko przechwycenia poufnych komunikacji, m.in. poprzez korzystanie z szyfrowanych narzędzi i VPN (jeśli pozwala na to lokalne prawo).
• Eksport sprzętu i oprogramowania SORM do innych państw, zwłaszcza przez przedsiębiorstwa mocno powiązane z rosyjskimi służbami bezpieczeństwa, prawdopodobnie wiąże się z możliwością dostępu Rosji do danych przechwytywanych za pomocą wspominanych systemów. W ten sposób Moskwa wzmacnia zarówno swoją pozycję polityczną, jak i zdolności wywiadowcze na świecie.

Ustalono producentów i dowody zakupu

Aby ustalić, które kraje wykorzystują system SORM, zespół Insikt Group najpierw zidentyfikował rosyjskie firmy produkujące sprzęt i oprogramowanie przeznaczone do instalacji w ramach SORM. 

Następnie zebrano dowody wskazujące na zakup tych technologii przez konkretne kraje, w tym informacje o współpracy z lokalnymi operatorami telekomunikacyjnymi i dostawcami usług internetowych.

Źródłem informacji były m.in. lokalne media, komunikaty prasowe i ustawy regulujące przechwytywanie komunikacji.

Podstawy działania SORM

System SORM jest fundamentem cyfrowej inwigilacji w Rosji. Polega na montowaniu urządzeń i oprogramowania nadzorującego u wszystkich operatorów telekomunikacyjnych i dostawców internetu, co jest ściśle nadzorowane przez państwo. 

Zainstalowane rozwiązania umożliwiają służbom bezpieczeństwa i organom ścigania bezpośredni dostęp do całego ruchu telekomunikacyjnego przepływającego przez daną infrastrukturę. Dostawcy usług nie są informowani o faktycznie prowadzonych działaniach operacyjnych, co niweluje przejrzystość i nadzór.

SORM obecny od dekad

System SORM jest wdrażany etapowo od wczesnych lat 90. XX wieku w trzech wersjach (SORM1, SORM2, SORM3). Każda kolejna rozszerza zasięg i głębokość nadzoru, obejmując komunikację telefoniczną, ruch internetowy, media społecznościowe oraz sieci WiFi. 

SORM3 umożliwia np. gromadzenie i długoterminowe przechowywanie metadanych w przeszukiwanej bazie. Rozporządzenia w Rosji nakazują dostawcom instalowanie tych urządzeń pod groźbą utraty licencji, co stanowi fundament prawny masowego nadzoru.

Przymus instalacji SORM

Ekspansja SORM za granicę, w tym do krajów WNP i innych regionów, jest najpewniej koordynowana lub co najmniej wspierana przez instytucje państwowe, np. Rosoboroneksport (kluczowego pośrednika eksportu technologii o znaczeniu wojskowym i podwójnym) czy Komisję Wojskowo-Przemysłową. 

Przenikanie systemu do innych państw wygląda podobnie: lokalni operatorzy telekomunikacyjni są zmuszani odpowiednimi ustawami do instalowania sprzętu SORM, a służby otrzymują bezpośredni panel dostępu do przechwytywania komunikacji.

Eksport rosyjskiego systemu inwigilacji

Na rosyjskim rynku SORM dominuje kilka dużych firm. Ich urządzenia obejmują sprzęt i oprogramowanie montowane u operatorów (do zbierania danych), panele do zdalnego dostępu dla służb (do analizy i przetwarzania), a także kanały transmisyjne między nimi. 

Szacuje się, że Citadel kontroluje największą część rynku. Norsi-Trans i Protei również mają istotne udziały.

Citadel

Grupa Citadel (założona w 2015 r.) bardzo szybko przejęła kilka podmiotów SORM (m.in. Malvin Systems, MFI Soft, Osnova Lab, Signatek, TekhArgos). W 2023 roku USA nałożyły sankcje na Citadel, oceniając, że spółka odpowiada za 60–80% produkcji SORM w Rosji. Oprócz rynku rosyjskiego, Citadel sprzedaje też technologie do krajów WNP i prowadzi działania marketingowe poza tym obszarem.

Norsi-Trans

Zlokalizowana w Moskwie firma Norsi-Trans odpowiada za około 20–40% rosyjskiego rynku SORM. W 2023 roku została objęta sankcjami przez USA. Jej produkty (m.in. linie Vitok, Yakhont) pozwalają na monitorowanie telefonii komórkowej, VoIP, poczty e-mail i wielu innych typów komunikacji. Spółka promowała je m.in. na ISS World Europe czy Infoforum-Ugra, co świadczy o próbach ekspansji międzynarodowej.

Protei

Protei wywodzi się z dawnego Leningradzkiego Instytutu Naukowo-Badawczego Łączności, podległego kiedyś Ministerstwu Łączności. Oferuje rozwiązania umożliwiające wdrażanie wersji SORM 1, 2 i 3 zarówno w Rosji, jak i za granicą. Posiada klientów w WNP (m.in. Kazachstan, Kirgistan, Uzbekistan) oraz w innych regionach (np. Afryka, Bliski Wschód, Ameryka Łacińska). Regularnie wystawia się na targach technologicznych (GITEX w ZEA, AfricaCom), promując także swoje pozostałe produkty telekomunikacyjne.

Kraje korzystające z SORM

Zespół Insikt Group ustalił, że Białoruś, Kazachstan, Kirgistan, Uzbekistan, Kuba i Nikaragua korzystają z rozwiązań opracowanych przez rosyjskich dostawców SORM. Wszystkie te państwa cechują się ograniczoną przejrzystością i nadzorem nad działaniami służb specjalnych, a narzędzia inwigilacji bywały w nich wykorzystywane do represji opozycji politycznej, niezależnych dziennikarzy czy aktywistów.

1. Białoruś

• Status regulacji: prezydenckie dekrety nr 129 (z 2010 r.) i nr 368 (z 2022 r.) formalnie sankcjonują instalację SORM w sieciach telekomunikacyjnych.
• Powiązania z rosyjskimi firmami: zakup technologii od Citadel, MFI Soft i Protei. VAS Experts przekazał urządzenia kompatybilne z SORM białoruskiemu ISP Unet.
• Ocena ryzyka: bardzo wysokie. Brak niezależnego nadzoru, liczne przypadki użycia inwigilacji wobec krytyków reżimu. Możliwe monitorowanie także cudzoziemców.

2. Kazachstan

• Status regulacji: od 2017 r. Komitet Bezpieczeństwa Narodowego wymaga instalacji SORM w czasie rzeczywistym. Operatorzy nie wiedzą, kiedy służby się podłączają, nie mają też wglądu w nakazy sądowe.
• Powiązania z rosyjskimi firmami: MFI Soft, Protei, VAS Experts dostarczyły Kazachstanowi urządzenia i oprogramowanie SORM. Kazachscy operatorzy (np. KazakhTelecom, Kcell) wymieniani są jako klienci TekhArgos, MFI Soft.
• Ocena ryzyka: wysokie. Kazachskie władze używały wcześniej m.in. Pegasusa do inwigilowania opozycji. Niedobory w nadzorze prawnym sprzyjają nadużyciom.

3. Kirgistan

• Status regulacji: rezolucje z 2014 i 2022 r. zobowiązują operatorów do instalacji najnowszej wersji SORM, warunkując tym przyznanie licencji.
• Powiązania z rosyjskimi firmami: dostawcami byli MFI Soft, Oniks-Line, Signatek, TekhArgos. Największy operator, KyrgyzTelecom, znajduje się na liście klientów MFI Soft.
• Ocena ryzyka: wysokie. Organy ścigania wielokrotnie nie stosują się do wymogów o nakazy sądowe. Służby inwigilowały liczne osoby z kręgu opozycji czy aktywistów.

4. Uzbekistan

• Status regulacji: ustawa o telekomunikacji i dekret prezydencki nr 513 nakazują montaż SORM w zamian za licencję na działalność. Największy operator Uztelecom jako jedyny łączy cały kraj z zagranicą.
• Powiązania z rosyjskimi firmami: MFI Soft i Protei dostarczyły Uzbekistanowi odpowiednie rozwiązania; VAS Experts również dostarcza urządzenia obsługujące SORM.
• Ocena ryzyka: wysokie. Władze mają swobodny dostęp do informacji, brak realnej kontroli sądowniczej nad inwigilacją.

5. Kuba

• Status regulacji: choć prawo nie używa nazwy SORM, mechanizmy przechwytywania i długoterminowego przechowywania danych są uregulowane. Dekret 389 (2019 r.) pozwala na przechwytywanie komunikacji nawet bez nakazu sądu.
• Powiązania z rosyjskimi firmami: według Instytutu Studiów Strategicznych USA (INSS), Kuba korzysta z systemów Protei od 2018 r. Sama firma wielokrotnie prezentowała swoje produkty na Międzynarodowych Targach w Hawanie (FIHAV), podkreślając współpracę z ETECSA i Movitel.
• Ocena ryzyka: wysokie. Kuba systematycznie inwigiluje dysydentów, dziennikarzy i osoby odwiedzające kraj. Brak skutecznych mechanizmów nadzoru niezależnego.

6. Nikaragua

• Status regulacji: specjalna ustawa o cyberprzestępczości (2021 r.) i prawo z 2010 r. (o zwalczaniu przestępczości zorganizowanej) pozwalają służbom na przechwytywanie danych. Operatorzy muszą mieć infrastrukturę technicznie gotową do takiej inwigilacji.
• Powiązania z rosyjskimi firmami: Nikaragua miała nabywać technologie SORM za pośrednictwem sieci NK SESLA. W 2019 r. pojawiły się informacje, że firma VAS Experts dostarczyła do Yota Nicaragua systemy DPI współpracujące z SORM.
• Ocena ryzyka: wysokie. Władze wielokrotnie stosowały narzędzia inwigilacji do tłumienia protestów i zastraszania opozycji. USA ostrzega przed możliwą obserwacją również cudzoziemców.

Dostęp rosyjskich służb do danych

Istnieje wysokie prawdopodobieństwo, że Rosja może sama korzystać z danych zbieranych za pomocą SORM w innych krajach. Duże firmy, takie jak Citadel, są dobrze znane z powiązań z rosyjskimi służbami bezpieczeństwa. Sankcje nałożone na np. Kaspersky Lab przez rząd USA zostały uzasadnione m.in. tym, że Kreml może zobowiązywać lokalne przedsiębiorstwa do przekazywania wrażliwych informacji. 

Według doniesień medialnych, Citadel jest powiązana z Federalną Służbą Bezpieczeństwa (FSB), a jej twórca (zmarły w 2023 r.) miał też bliskie relacje z innymi osobami zbliżonymi do Kremla. Przykładem nieufności wobec rosyjskiego sprzętu są decyzje Kazachstanu i Kirgistanu o nieinstalowaniu pewnych modułów od dostawców rosyjskich ze względu na podejrzenia istnienia „tylnych furtek” (tzw. backdoorów).

O czym należy pamiętać?

Firmy planujące działalność w państwach wdrażających SORM lub organizujące tam podróże służbowe powinny:

1. Szyfrować komunikację

Korzystać z szyfrowanych komunikatorów i VPN (jeśli prawo lokalne na to pozwala). Należy przy tym unikać usług opartych o domeny i infrastrukturę krajów wdrażających SORM.

2. Ograniczyć dostęp do wrażliwych zasobów

Podczas wyjazdu służbowego rozważyć ograniczenie dostępu do kluczowych danych czy kont firmowych.

3. Przeprowadzić analizę ryzyka

Sprawdzić, w jaki sposób dany kraj wykorzystuje narzędzia nadzoru wobec przedsiębiorstw i cudzoziemców (w tym ewentualne przypadki nadużyć).

4. Korzystać z narzędzi analizy ryzyka

Platforma Recorded Future oferuje m.in. Country Risk Score, który przybliża poziom zagrożeń związanych z prywatnością i inwigilacją.

5. Monitorować przepisy o kryptografii

W wielu krajach możliwość użycia szyfrowanych aplikacji i VPN-ów jest ograniczana ustawowo.

Według Insikt Group, główni dostawcy SORM – tj. Citadel, Norsi-Trans czy Protei – prawdopodobnie będą kontynuować ekspansję za granicę, szczególnie wśród państw mających bliskie powiązania z Rosja. Zważywszy na korzyści polityczne i wywiadowcze, Kreml będzie najpewniej aktywnie wspierać eksport tych technologii.

Zrozumienie sposobu działania SORM i wdrożenie odpowiednich środków ostrożności jest kluczowe dla bezpieczeństwa danych.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].