Na základe medializovaných informácií o dopravných kamerách, ktoré boli testované pre Ministerstvo vnútra SR, som napísal článok 13. augusta 2026 o tom, že jedna z týchto kamier nezabezpečene streamovala video cez internet do celého sveta.
Počas víkendu moje zistenia prebralo niekoľko médií, i keď som nepoukazoval priamo na Národným bezpečnostným úradom zistené potenciálne zadné vrátka, ale primárne na evidentné porušenie ochrany osobných údajov (GDPR) pri testovaní jednej z kamier, na ktoré platia v Európskej únii prísne pravidlá, bez ohľadu na to, aká technológia sa v zariadeniach nachádza.
Tlačová správa spoločnosti Soitron
Jedna z testovaných kamier, na ktorú som narazil počas mojej rešerše už 22. marca 2026 a o ktorej som písal svoj predošlý článok, vysielala z vlajkového stožiara v areáli spoločnosti Soitron. Spoločnosť 16. augusta 2026 vydala k medializovaným informáciám tlačovú správu. V nej sa okrem iného spomína aj vyjadrenie k zisteniam, že táto kamera vysielala na verejnej IP adrese.
„Cez víkend sa v médiách objavila informácia o tom, že v marci sa zábery z kamery dali nájsť na verejne dostupnej IP adrese. V tom čase túto kameru spravovala spoločnosť it-s pre potreby certifikácie na SMÚ a kamera nebola napojená do internej siete SOITRON a nebola ani prepojená na MV SR. Kamera bola umiestnená v našom areáli z dôvodu, aby bolo dobre nasimulované budúce prevádzkové prostredie. Od momentu napojenia do internej siete SOITRON dňa 29.5.2026, boli všetky testovacie kamery, plne chránené a prístup k nim z externého prostredia bol znemožnený. V tomto izolovanom móde fungovali až do ukončenia testovania.“ píše sa v tlačovej správe.
Povestný „horúci zemiak“ v zodpovednosti za tento nezabezpečený stream dostala spoločnosť it-s, j. s. a., ktorú spoločnosť označila ako svojho subdodávateľa a správcu počas testovacej prevádzky pre potreby certifikácie Slovenským metrologickým ústavom a podľa ich slov nebola pripojená do internej siete spoločnosti Soitron.
Spoločnosti s potvrdeniami NBÚ a školáckymi chybami
Obe spoločnosti na svojich webových sídlach deklarujú ako jednu zo služieb kybernetickú bezpečnosť. Pri pohľade na nezabezpečený stream z Plynárenskej ulice to znie úsmevne. Znepokojujúcejšie je však to, že obe spoločnosti figurujú na zozname podnikateľov s platným potvrdením o priemyselnej bezpečnosti NBÚ.
Soitron, ktorý je významným dodávateľom štátu v rôznych štátnych zákazkách, by si mal jednoznačne a dôkladne preveriť hardvérové a softvérové vybavenie zariadenia, ktoré štátu predáva. Nanajvýš ak ide ešte o donedávna necertifikované zariadenie, bez dôkladnej analýzy. Pre takúto veľkú IT firmu je to v jej najlepšom záujme, pretože prípadné pochybenia práve v projekte, kde sa dôraz kladie na bezpečnosť, nie sú dobrou vizitkou.
Spoločnosť it-s dokonca hneď v úvode svojho webu deklaruje informáciu „NBÚ Potvrdenie o priemyselnej bezpečnosti TAJNÉ“. Podľa vyššie spomínaného úryvku tlačovej správy bola správcom kamery v čase testovania na Plynárenskej práve firma it-s. Či túto amatérsku chybu, ktorou bolo spustenie streamu na porte verejnej IP adresy, spravila práve táto spoločnosť, nie je možné potvrdiť ani vyvrátiť a je podložená iba tlačovou správou spoločnosti Soitron.
Každopádne obe spoločnosti podľa môjho názoru nesú istý podiel zodpovednosti. Soitron minimálne za nedôkladné preverenie zariadení, ktoré podľa NBÚ obsahovali niekoľko typov zadných vrátok vrátane nezdokumentovaných častí a spoločnosť it-s, ktorá testovala zariadenie pred certifikáciou pravdepodobne nedostatočne zabezpečila túto kameru nastavením na verejnej IP adrese.
O tom, čo ktorá firma naozaj vedela či nevedela pri verejnom streame, je pod rúškom tajomstva a malo by to byť príslušnými orgánmi zistené, pretože spoločnosti s potvrdeniami priemyselnej bezpečnosti od NBÚ, by takéto chyby robiť nemali.
Kto teda naozaj nesie zodpovednosť za stream bratislavskej ulice?
Z tlačovej správy spoločnosti Soitron vyplýva, že správcom tejto kamery bola spoločnosť it-s, j. s. a., ktorá aj kamery Soitronu dodala. Na malej tabuľke na plote pod kamerou bolo uvedené, že prevádzkovateľom je SOITRON, s.r.o., účel testovania „technické testovanie a nastavenie meracieho zariadenia (cestný radar)“ a s dobou uchovávania záznamu 7 dní. V neposlednom rade upozornenie obsahuje vetu „Záznamy sa nepoužívajú na priestupkové ani iné konanie a neposkytujú sa polícii ani tretím stranám„. A tu nastáva problém, ktorý si ešte neskôr preberieme.
Keďže spoločnosť Soitron tvrdí, že kamera nebola pripojená do ich siete a aj od jej spravovania dáva ruky preč, prečo je uvedená ako prevádzkovateľ zariadenia, ktorý zodpovedá za ochranu osobných údajov? Testovali kameru spoločne s firmou it-s? Ako a kam bola teda kamera pripojená a kam odovzdávala a ukladala dáta?
Prečo také veľké haló kvôli jednému streamu?
Jedným z faktorov, na ktorý som aj poukázal, bol nezabezpečený stream vo vysokom rozlíšení. Na internete sa objavilo niekoľko komentárov o tom, že existujú desiatky kamier v Bratislave a iných mestách, ktoré snímajú ulice. Tu treba však rozoznať dve veci.
V prvom rade či ide o bezpečnostnú kameru, z ktorej údaje sa v žiadnom prípade nesmú verejne dostávať na internet a môžu byť použité len za istých podmienok, napr. pri vyšetrovaní trestnej činnosti. Druhým typom môže byť webkamera, ktorá cielene vysiela na internet za účelom sledovania dopravnej situácie alebo počasia. Dopravné webkamery často nevysielajú vo vysokom rozlíšení, práve z dôvodu aby nebolo vidno evidenčné čísla a osoby, no zároveň mohli priniesť informácie o dopravnej situácii.
V prípadoch, kedy je možné zo záberov rozoznať tváre ľudí alebo evidenčné čísla, ide o spracúvanie osobných údajov. Takéto snímanie musí byť v danej lokalite označené podľa jasných pravidiel, teda minimálne to, kto je prevádzkovateľom, podrobné údaje nakladania so zábermi ako dĺžku uchovávania, kto má k nim prístup, za akým účelom je miesto snímané a kde možno namietať spracúvanie osobných údajov a žiadať ich zmazanie, prípadne odkaz na dokument, kde tieto informácie možno nájsť.
Táto kamera vysielala Plynárenskú ulicu vo vysokom rozlíšení nezabezpečene a do celého sveta. Zo záberov bolo možné rozoznať tváre okoloidúcich, evidenčné čísla vozidiel, prípadne aj tváre šoférov. Tým, že ku kamere mal prístup ktokoľvek na svete, mohol tieto zábery spracúvať na akýkoľvek účel, napr. aj na trénovanie modelov umelej inteligencie, pre ktoré sú takéto dáta veľmi cenné. Horšie je aj to, že nikto nevie, koľko takýchto záznamov vzniklo, kto ich vyhotovil, ako dlho a kde ich uchováva a prípadne čo s nimi v budúcnosti spraví.
V Európskej únii sú prijaté prísne pravidlá spojené s ochranou osobných údajov, poznáme ich pod skratkou GDPR. Za ich porušenia hrozia obrovské pokuty, a preto ide v tomto prípade o aktuálny problém. To, že kamery obsahovali podľa NBÚ zadné vrátka, je znepokojujúce, avšak v testovacej prevádzke kamier by nemala byť bezpečnosť občanov práve cez zadné vrátka narušená, či už prístupom k záberom alebo k databázam. To sa však o verejnom streame povedať nedá.
Sleduje nás mnoho kamier, a čo teraz?!
Kamery sa nachádzajú už prakticky všade okolo nás. Stali sa dostupnou položkou a už nie sú výsadou nie len firiem, ale aj bežných ľudí. Dopravná kamera však nie je bežnou kamerou z e-shopu. Je to sofistikované zariadenie, ktoré spracúva vysoko kvalitný obraz za účelom vyhodnocovania dopravných priestupkov, je pripojené na databázy a malo by fungovať v uzavretej sieti a na rozdiel od bežných kamier a webkamier dokážu oveľa viac.
Mnohé bežne montované kamery na domoch či firmách majú síce záznamníky v lokálnej sieti alebo pamäťové karty, no zväčša sa k nim dá pripojiť cez aplikáciu pomocou cloudu, ktorý viacerí výrobcovia kamier bezplatne poskytujú. Toto tiež predstavuje isté bezpečnostné riziko, hlavne pri menej známych výrobcoch, kedy nemusí byť zaručené zabezpečenie dátového toku medzi kamerou, serverom a klientom.
Koniec koncov obrázky zo záhrady alebo z obývačky bežných ľudí sú skôr zaujímavé pre bežných útočníkov, nie pre tajné služby.
V iných kamerách sú súčiastky americké, čínske, francúzske, nemecké…
V pôvode samotných komponentov veľký problém nevidím. Hlavným problémom je, že tieto komponenty spolu so softvérom boli pripravené na prístup cez zadné vrátka. Jednoducho povedané, že aj keby kamery pripojili do uzavretej siete, ktorá nemá prístup z internetu, ich bezpečnosť ale aj bezpečnosť uzavretej siete mohla byť narušená tým, že sa do kamier dalo dostať hneď niekoľkými spôsobmi.
Podľa medializovanýc informácií bol v týchto kamerách „natvrdo“ nastavený ďalší administrátorský prístup, boli tam preddefinované telefónne čísla, pomocou ktorých mohla kamera na diaľku mimo uzavretej siete komunikovať a v neposlednom rade nezdokumentovaný 3G/4G modul s miniSIM slotom, ktorý bol pod krytom ľahko prístupný. Takže aj keď pri samotnej montáži kamery sa v zariadení SIM karta nemusela nachádzať, bolo ju tam možné neskôr rýchlo a jednoducho vložiť.
Teoreticky by sa útočník mohol dostať k databázam, ku ktorým by kamery mali prístup alebo k obrazu z nich, na základe ktorého by bolo možné sledovať a vyhodnocovať pohyb záujmových osôb, tovaru či vozidiel a na základe toho vytvárať mapy. V minulosti sa iránske dopravné kamery stali očami Mosadu pri sledovaní ajatolláha Alího Chameneího. A práve toto považujem po aktuálnom probléme s narušením ochrany osobných údajov kamerou v testovacej prevádzke za ďalší problém.
Ako tomu predchádzať?
Kybernetická bezpečnosť je jednou z top tém posledných rokov. Internet, siete, sieťové zariadenia, počítače či servery sú už takmer všade. Sú našou každodennou súčasťou a čoraz viac bežných úkonov v nášom živote prechádza elektronizáciou. Preto treba dbať na kybernetickú bezpečnosť od najvyššej úrovne v štáte až po jednotlivcov.
Je v záujme štátu a aj jeho dodávateľov podrobne preverovať zariadenia, ktoré majú byť pripojené do citlivých sietí našej krajiny. Každé zariadenie, hlavne nových či menej známych výrobcov, ktoré má byť použité štátom v projektoch, v ktorých sa kladie dôraz na bezpečnosť, by nemalo byť certifikované iba Slovenským metrologickým ústavom, ale automaticky a bez žiadania by ich mal preverovať aj Národný bezpečnostný úrad.
V neposlednom rade by štát mal počúvať IT odborníkov, ktorí sa snažia naviesť IT bezpečnosť krajiny správnym smerom a nehádzať im pod nohy polená a nedehonestovať ich zistenia a snahu o nápravu. Nie je to tak dávno, čo Slovenskom otriasla kauza katastra, ktorý bol týždne nefunkčný, ministerstva hospodárstva, kde unikli údaje ľudí v súvislosti s energopomocou, či neznámeho zariadenia pripojeného do siete Govnet.
Titulná fotografia: AI koláž