Co odkryło Ministerstwo Obrony

Korespondent obronny The Telegraph, Richard Holmes, poinformował 9 sierpnia 2026 roku, że kamery obserwacyjne zamontowane w bezzałogowych łodziach K3 Scout Royal Navy, używanych przez Royal Marines i ściśle powiązanych z operacjami Special Boat Service z Poole, zawierały wyprodukowane w Chinach komponenty wysyłające "sygnały heartbeat" do urządzenia w Chinach. Rzecznik Ministerstwa Obrony potwierdził istotę sprawy: transmisje wykryto podczas "rutynowej oceny podatności cybernetycznej" floty K3, a wymieniane informacje potwierdzały jedynie, że kamera jest online i działa - nie dane operacyjne. Po odkryciu MoD odciął całą łączność internetową dotkniętych kamer.

Oficjalne stanowisko MoD, powtarzane wielu redakcjom, mówi, że późniejsze dochodzenie nie znalazło dowodów na to, by dane lub systemy MoD zostały naruszone, przejęte lub przesłane na zewnątrz. To węższe twierdzenie niż stwierdzenie, że komponenty były bezpieczne: potwierdza brak znanej eksfiltracji danych, a nie to, że zachowanie polegające na "dzwonieniu do domu" było zamierzone, ujawnione lub kiedykolwiek przewidziane.

Flota za 12 milionów funtów stojąca za Project Beehive

K3 Scout to licząca 8,4 metra bezzałogowa jednostka nawodna zbudowana przez Kraken Technology Group, brytyjskiego wykonawcę obronnego z siedzibą w Fareham w hrabstwie Hampshire. Royal Navy zleciła Kraken dostawę 20 jednostek K3 Scout wraz z systemami kontroli naziemnej w ramach Project Beehive, programu mającego zintegrować szybkie jednostki bezzałogowe z operacjami floty; łodzie mogą przenosić ładunki sensoryczne, transportowe lub uzbrojenie i były też testowane w próbach takich jak zrzut z samolotu A400M Royal Air Force. Warta 12 milionów funtów flota pozostaje w służbie Royal Marines od marca 2026 roku, a według doniesień część jednostek ma zostać skierowana do Zatoki Perskiej w celu ochrony żeglugi w Cieśninie Ormuz.

Kraken Technology Group oświadczył dziennikarzom, że kamery spełniały normę NDAA - czyli amerykański standard zamówień obronnych wykluczający niektórych chińskich dostawców - ale przyznał, że jednostki zawierały "niewielką liczbę komponentów spoza Wielkiej Brytanii", które, jak stwierdził, pozyskano od zewnętrznego dostawcy, który udzielił zapewnień bezpieczeństwa. Kraken utrzymywał, że nie udostępniono żadnych wrażliwych informacji.

Gdzie łańcuch zapewnień faktycznie się zerwał

Łańcuch ma tu trzy ogniwa: Kraken zbudował i sprzedał K3 Scout Royal Navy; Kraken kupił moduł kamery od zewnętrznego dostawcy; ten dostawca udzielił Kraken zapewnień bezpieczeństwa dotyczących komponentu. Żadne z tych zapewnień nie wychwyciło ruchu heartbeat, zanim łodzie weszły do służby. Ujawniono go dopiero około pięciu miesięcy po rozpoczęciu użytkowania operacyjnego, gdy MoD przeprowadził rutynową ocenę podatności cybernetycznej - rodzaj kontroli przeprowadzanej okresowo, a nie wbudowanej w przyjmowanie komponentu od nowego dostawcy.

Minister bezpieczeństwa gabinetu cieni, Alicia Kearns, oświadczyła, że incydent pokazuje, jak podatności łańcucha dostaw mogą podważać suwerenne zdolności obronne, nawet gdy głównym wykonawcą jest firma brytyjska, a standard zgodności (NDAA) został formalnie spełniony. To właśnie umyka dokumentacji zgodności: komponent może przejść nazwany standard i pisemne zapewnienie dostawcy, a mimo to zachowywać się w eksploatacji w sposób, którego nikt wcześniej w łańcuchu nie przetestował ani nie ujawnił.

Co to oznacza dla firm z UE i Wielkiej Brytanii poza obronnością

To nie jest wyłącznie problem Ministerstwa Obrony. Wyprodukowane w Chinach moduły kamer i czujników znajdują się w ogromnej gamie sprzętu komercyjnego kupowanego przez zwykłe firmy z UE i Wielkiej Brytanii: kamery bezpieczeństwa, systemy kontroli dostępu, czujniki inteligentnych budynków, przemysłowy sprzęt monitorujący, a nawet kioski dla klientów. Przypadek K3 Scout pokazuje, że dokumentowe zapewnienie dostawcy - "zgodność z NDAA", "nie udostępniono wrażliwych danych", podpisany kwestionariusz bezpieczeństwa - to nie to samo co stwierdzenie "sprawdziliśmy, co to urządzenie faktycznie robi w sieci", a te dwie rzeczy mogą się rozejść, zanim ktokolwiek w łańcuchu to zauważy, aż do momentu, gdy niezależny audyt wykryje to przypadkiem.

Zgodnie z NIS2 podmioty kluczowe i ważne w całej UE (energetyka, ochrona zdrowia, infrastruktura cyfrowa, producenci produktów krytycznych i inne) mają wyraźny obowiązek zarządzania ryzykiem łańcucha dostaw: artykuł 21(2)(d) wymaga oceny praktyk bezpieczeństwa bezpośrednich dostawców i usługodawców, a nie tylko ich dokumentacji. W Polsce obowiązek ten przekłada się na ustawę wdrażającą NIS2 w ramach Krajowego Systemu Cyberbezpieczeństwa, z NASK jako instytucją odgrywającą kluczową rolę w koordynacji CSIRT dla podmiotów objętych regulacją. Incydent Royal Navy jest konkretną ilustracją tego, dlaczego ten obowiązek powinien przekładać się na krok techniczny, a nie tylko umowny. Zespół zakupowy, który chce uniknąć odkrycia własnego problemu "heartbeat" pięć miesięcy po uruchomieniu, powinien przed wdrożeniem wymagać niezależnego przechwycenia ruchu sieciowego każdego modułu kamery, czujnika lub IoT od zewnętrznego dostawcy - sprawdzając, dokąd faktycznie się łączy, a nie tylko to, co dostawca twierdzi, że nie robi. Wielka Brytania nie podlega jurysdykcji NIS2, ale stoi przed taką samą praktyczną ekspozycją, dlatego jej własne NCSC opublikowało podobne wytyczne dotyczące zapewnień łańcucha dostaw z dokładnie tego powodu.

Czytaj dalej: Wymień każdy klucz CI użyty 4 sierpnia  |  Poprawka podpisuje nowe pliki, a nie wasze archiwum