Nizozemský deník Volkskrant se dostal k jedenáct let staré bezpečnostní analýze mobilní sítě nizozemského operátora KPN, ze které podle novinářů vyplývají zásadní bezpečnostní nedostatky z té doby.
KPN si tehdy ke správě sítě využívala mimo jiné čínskou společnost Huawei, od které odebírala také hardware. V roce 2009 si operátor najal na analýzu případných rizik firmu Capgemini. Její experti pak podle článku (paywall) při zkoumání zjistili, že šest čínských techniků, kteří sídlili přímo v budově KPN, mělo neoprávněný přístup k systémům v jádru sítě nebo údajům o policejních odposleších.
Operátor před lety zprávu nezveřejnil z obavy, že by vážně ohrozila jeho podnikání, píše Volkskrant.
Pro přístup k citlivým částem sítě v KPN existovala bezpečnostní pravidla, zahrnující vydávání speciálních bezpečnostních kódů a ustavení dočasného připojení. Čínští technici ale k systémům podle zprávy přistupovali i mimo tato omezení. Mohli tak například nekontrolovaně sledovat metadata o hovorech (tzv. call data records, CDR). Vzdálený přístup přitom mohli používat jak z Nizozemska, tak případě i z Číny.
Pracovníci Huawei také podle analýzy měli přístup k seznamu čísel, u kterých policie požádala o odposlech. A podle analytiků také teoreticky mohli sami odposlouchávat jakýkoli hovor, který přes síť KPN šel.
Smlouva s operátorem jim totiž umožňovala v rámci sledování kvality hovorů krátce sledovat probíhající konverzace. Mělo jít maximálně o několikasekundové úryvky, ale podle analýzy mohli potenciálně poslouchat déle.
Analýza neobsahuje žádné konkrétní důkazy, že Huawei neoprávněné přístupy do sítě KPN skutečně zneužila (analytici podle Volkskrantu mimo jiné upozorňovali na to, že aplikace, které technici používají, mají rozhraní v čínštině, takže jim nerozuměli). Materiál každopádně nevrhá moc dobré světlo na zabezpečení nizozemského operátora.
Nizozemská pobočka Huawei ve svém vyjádření k článku jakékoli odposlouchávání popřela s tím, že nikdy neměla neoprávněný přístup k sítím a datům nizozemského operátora. KPN ve svém prohlášení napsal, že nikdy nezjistil, že by Huawei ukradla data zákazníků nebo někoho odposlouchávala. Společnost také uvedla, že bezpečnostní analýza měla zvážit, zda by měla správu jádra sítě zadat externí firmě. Na základě jejích výsledků ale od tohoto záměru upustila.
