Κυπριακή «σφραγίδα» σε σύστημα με ρωσικό αποτύπωμα

Ένα σύστημα ελέγχου ταχύτητας και καταγραφής οχημάτων, που προοριζόταν για χρήση στους δρόμους της Σλοβακίας, εμφανιζόταν στα επίσημα έγγραφα με κατασκευάστρια μια κυπριακή εταιρεία: τη SODASUS LTD. Το σύστημα ονομαζόταν NERO R-ONE και λειτουργούσε ουσιαστικά ως «έξυπνο» ραντάρ με κάμερα, ικανό να μετρά ταχύτητα, να καταγράφει οχήματα και να επικοινωνεί μέσω δικτύων. Όταν όμως η Εθνική Υπηρεσία Ασφαλείας της Σλοβακίας άνοιξε και εξέτασε τη συσκευή, εντόπισε τεχνικά ίχνη που παρέπεμπαν στη ρωσική Simicon, αποκλίσεις ανάμεσα στο δηλωμένο και το πραγματικό hardware και software, δυνατότητες απομακρυσμένης πρόσβασης και μη καταγεγραμμένους τρόπους επικοινωνίας. Η υπόθεση οδήγησε σε επίσημη προειδοποίηση για σημαντική κυβερνοαπειλή και άφησε ένα βασικό ερώτημα: Πώς ένα σύστημα με τόσο έντονο ρωσικό τεχνολογικό αποτύπωμα πιστοποιήθηκε με την ένδειξη «Manufacturer: SODASUS LTD, Cyprus» και ποιος ακριβώς ήταν ο ρόλος της κυπριακής εταιρείας;

Από τον Στρόβολο στον «manufacturer»

Η SODASUS LTD, με αριθμό εγγραφής ΗΕ 424916, συστάθηκε στην Κύπρο στις 24 Αυγούστου 2021. Στην Επίσημη Εφημερίδα της Δημοκρατίας καταγράφεται με αντικείμενο «επενδυτικές εργασίες και άλλα» και διεύθυνση στη Λεωφόρο Στροβόλου 77.

Στα δημόσια διαθέσιμα εταιρικά στοιχεία εμφανίζεται ως director η FIDESTA MANAGEMENT LTD. Η ίδια διεύθυνση συνδέεται με τη Fidesta Ltd, αδειοδοτημένο από την Επιτροπή Κεφαλαιαγοράς πάροχο διοικητικών υπηρεσιών. Η συγκεκριμένη εταιρική δομή δεν υποδηλώνει από μόνη της οτιδήποτε μεμπτό· οι υπηρεσίες εταιρικής διοίκησης αποτελούν νόμιμη πρακτική στην Κύπρο.

Η SODASUS εμφανίζεται επίσης σε σελίδα της Fidesta ανάμεσα σε εγγεγραμμένες «shelf companies», δηλαδή εταιρείες που έχουν ήδη συσταθεί και διατίθενται έτοιμες προς απόκτηση. Η καταχώριση δεν αποδεικνύει πότε ή από ποιον αποκτήθηκε ούτε τον σκοπό για τον οποίο χρησιμοποιήθηκε αργότερα.

Το σημερινό domain της εταιρείας, sodasus.com, καταχωρίστηκε τον Μάρτιο του 2026. Μέσω της ιστοσελίδας της η SODASUS παρουσιάζεται πλέον ως πάροχος τεχνολογικών λύσεων για κυβερνητικούς Οργανισμούς, κρίσιμες υποδομές, άμυνα και συστήματα οδικής επιτήρησης.

Η πιστοποίηση

Στις 30 Ιουνίου 2026 η σλοβακική Υπηρεσία Τυποποίησης, Μετρολογίας και Δοκιμών εξέδωσε πιστοποιητικό έγκρισης τύπου για το NERO R-ONE. Αιτητής ήταν η σλοβακική it-s και στη θέση του κατασκευαστή αναγραφόταν η SODASUS LTD, Cyprus. Η έγκριση είχε ισχύ μέχρι το 2036.

Για το πώς η κυπριακή εταιρεία βρέθηκε σε αυτήν τη θέση υπάρχει μία δημόσια εξήγηση. Η Soitron, που προμήθευσε δύο συστήματα για δοκιμή στο σλοβακικό Υπουργείο Εσωτερικών, υποστήριξε ότι η SODASUS είχε αναλάβει παραγωγή, τεχνογνωσία και ανάπτυξη από την κροατική NEROline.

Η θέση αυτή επιχειρεί να εξηγήσει την παρουσία της ως κατασκευάστριας, όχι όμως όσα προέκυψαν αργότερα όταν η συσκευή εξετάστηκε τεχνικά.

Το ρωσικό αποτύπωμα: τι βρήκαν πραγματικά μέσα

Το κρίσιμο σημείο δεν βρίσκεται στο ότι εντοπίστηκε απλώς ένα ρωσικό εξάρτημα. Σύμφωνα με την τεχνική ανάλυση της NBÚ, την οποία εξασφάλισε το σλοβακικό Živé.sk μέσω αιτήματος πληροφόρησης, τα ίχνη της ρωσικής Simicon έφθαναν σε βασικά επίπεδα λειτουργίας της συσκευής.

Οι πλακέτες και το firmware παρέπεμπαν στο CORDON PRO.M της Simicon, εταιρείας με έδρα την Αγία Πετρούπολη. Στοιχεία της ίδιας εταιρείας εντοπίστηκαν στην κεντρική μονάδα, ενώ η τεχνική ανάλυση συνέδεσε και το λογισμικό με τον ρωσικό κατασκευαστή. Η Simicon καταγράφεται στα ρωσικά μητρώα ως κατασκευάστρια συστημάτων CORDON.

Με απλά λόγια, το ερώτημα δεν είναι γιατί ένα «κυπριακό» ραντάρ περιείχε ένα εξάρτημα από τη Ρωσία. Το ερώτημα είναι γιατί ένα σύστημα που στα επίσημα έγγραφα εμφανιζόταν με κατασκευάστρια εταιρεία της Κύπρου παρουσίαζε, κατά την εξέταση των Σλοβάκων, ρωσικό αποτύπωμα σε hardware, firmware και software.

Η ανάλυση κατέγραψε και δεύτερη, σοβαρότερη διάσταση. Οι ειδικοί εντόπισαν πρόσθετο module κινητής τηλεφωνίας, το οποίο δεν περιγραφόταν στην τεχνική τεκμηρίωση, καθώς και ξεχωριστή υποδοχή SIM. Στη μνήμη της συσκευής βρέθηκε προρυθμισμένη λίστα 12 τηλεφωνικών αριθμών με ρωσικά προθέματα. Σύμφωνα με όσα δημοσιοποιήθηκαν από την τεχνική ανάλυση, μέσω σύνδεσης κινητής τηλεφωνίας και SMS μπορούσαν να ενεργοποιηθούν συγκεκριμένες εντολές, μεταξύ άλλων για επανεκκίνηση και απομακρυσμένη πρόσβαση.

Οι Σλοβάκοι κατέγραψαν ακόμη δυνατότητες σύνδεσης μέσω Wi-Fi, κινητού δικτύου και VPN, καθώς και προκαθορισμένο λογαριασμό διαχειριστή στο firmware.

Εδώ βρίσκεται το πραγματικό ζήτημα ασφαλείας: ένα σύστημα που προοριζόταν για κρατική υποδομή παρουσίαζε διαφορετική τεχνική εικόνα από εκείνη που περιέγραφαν τα συνοδευτικά του έγγραφα και διέθετε τρόπους επικοινωνίας και απομακρυσμένης διαχείρισης, για τους οποίους ο κρατικός χρήστης δεν είχε πλήρη εικόνα. Στις 14 Αυγούστου η NBÚ εξέδωσε προειδοποίηση για «σημαντική κυβερνοαπειλή».

Ένα ακόμη εύρημα ενίσχυσε τα ερωτήματα. Η NBÚ κατέγραψε απόκλιση ανάμεσα στο λογισμικό που εμφανιζόταν στην πιστοποίηση και σε εκείνο που βρέθηκε να λειτουργεί στη συσκευή. Σύμφωνα με τη δημοσιοποιημένη ανάλυση, το ψηφιακό αποτύπωμα SHA-1, που παρουσιαζόταν ως αναγνωριστικό του πιστοποιημένου software, αντιστοιχούσε σε διαφορετικό αρχείο.

Το εύρημα δεν αρκεί από μόνο του για συμπέρασμα παρατυπίας. Θέτει, όμως, ένα σαφές ερώτημα: Τι ακριβώς πιστοποιήθηκε στις 30 Ιουνίου και τι ακριβώς βρέθηκε μέσα στη συσκευή λίγες εβδομάδες αργότερα;

Τι δεν αποδείχθηκε

Η παρουσία ρωσικών αριθμών, οι μη καταγεγραμμένοι τρόποι επικοινωνίας και οι δυνατότητες απομακρυσμένης πρόσβασης δεν αποδεικνύουν ότι κάποιος από τη Ρωσία συνδέθηκε πράγματι στο σύστημα. Ούτε τεκμηριώνεται μέχρι σήμερα ότι πραγματοποιήθηκε κατασκοπία.

Αυτό που προκύπτει από τα επίσημα ευρήματα είναι ότι η αρμόδια σλοβακική υπηρεσία εντόπισε αποκλίσεις από την τεχνική τεκμηρίωση και δυνατότητες που έκρινε αρκετά σοβαρές, ώστε να εκδώσει επίσημη προειδοποίηση κυβερνοασφάλειας.

Δύο NERO R-ONE

Χρειάζεται αποσαφήνιση και για τον αριθμό 279, ο οποίος συνδέθηκε έντονα με την υπόθεση. Δεν επρόκειτο για 279 NERO R-ONE. Ο αριθμός αφορά το ευρύτερο σλοβακικό πρόγραμμα εγκατάστασης συστημάτων αυτοματοποιημένου ελέγχου στους δρόμους.

Στο συγκεκριμένο στάδιο είχαν αγοραστεί και τεθεί σε δοκιμή δύο NERO R-ONE. Μετά τα ευρήματα της NBÚ τα συστήματα απομακρύνθηκαν, ενώ η Soitron ανακοίνωσε ότι δεν θα τα εγκαθιστούσε σε υποδομές πελατών και επέστρεψε το αντίτιμο της αγοράς. Η υπόθεση τέθηκε παράλληλα υπό εξέταση από τις εισαγγελικές Αρχές.

Το κομμάτι που λείπει

Τα δημόσια έγγραφα αφήνουν δύο εικόνες που δεν έχουν ακόμη ενωθεί πλήρως. Από τη μία, το επίσημο πιστοποιητικό: NERO R-ONE – «Manufacturer: SODASUS LTD, Cyprus». Από την άλλη, η τεχνική εξέταση που εντόπισε ρωσικό αποτύπωμα σε κρίσιμα μέρη του συστήματος και αποκλίσεις από την τεκμηρίωσή του.

Ανάμεσά τους βρίσκεται η εξήγηση ότι η SODASUS είχε αναλάβει παραγωγή και τεχνογνωσία από την κροατική NEROline. Αυτό που δεν προκύπτει ακόμη καθαρά από τα δημόσια στοιχεία είναι ποιο μέρος του NERO R-ONE σχεδιάστηκε, αναπτύχθηκε ή κατασκευάστηκε πράγματι από τη SODASUS, ποια ακριβώς σχέση είχε με τη NEROline και τη Simicon και πώς ένα σύστημα με το τεχνολογικό αποτύπωμα που κατέγραψαν οι Σλοβάκοι πιστοποιήθηκε επισήμως με κατασκευάστρια μια κυπριακή εταιρεία.