Slovaquie : backdoor russe dans des radars routiers

Des radars de vitesse comme vecteurs d'espionnage : la Slovaquie découvre une infiltration hardware sophistiquée

Le 19 août 2026, le Bureau national de sécurité slovaque (NBU — Národný bezpečnostný úrad) a rendu publiques les conclusions d'une analyse technique menée sur les radars de contrôle de vitesse NERO R-ONE récemment déployés sur le réseau routier national. Le résultat est sans ambiguïté : les appareils contiennent un module non documenté directement lié à des numéros de téléphone mobiles russophones, constituant une backdoor fonctionnelle permettant une prise de contrôle à distance de l'équipement via des commandes SMS. L'affaire, révélée par Cybernews et reprise par Risky Business Media, soulève des questions qui dépassent largement le cadre technique et touchent à la sécurité nationale slovaque et à l'intégrité des procédures d'achat public européennes.

Selon les conclusions du NBU, douze numéros de téléphone russes ont été intégrés dans le firmware des appareils. Ces numéros sont associés géographiquement aux régions de Saint-Pétersbourg et de Kemerovo — deux zones qui accueillent des infrastructures techniques liées aux services de sécurité russes. Le mécanisme de compromission est particulièrement insidieux dans sa conception : un attaquant envoyant une commande SMS accompagnée d'un mot de passe valide à l'un de ces numéros obtient un accès complet à l'appareil, avec la capacité d'exécuter du code arbitraire, de modifier la configuration, d'accéder aux flux vidéo, ou de transformer le radar en point de collecte de données sur le trafic routier — et par extension sur les mouvements de véhicules sur des axes sensibles.

L'enquête a également révélé la nature réelle du matériel. Les NERO R-ONE ne sont pas des appareils développés indépendamment par un constructeur européen : il s'agit de versions rebrandées du CORDON PRO.M, un système de contrôle de vitesse développé et commercialisé par la société russe Simicon, basée à Novossibirsk. Simicon est un acteur bien connu du marché des systèmes de surveillance routière dans l'espace post-soviétique. La présence d'un module SMS non documenté dans un appareil d'origine russe déployé dans une infrastructure critique d'un pays membre de l'OTAN — la Slovaquie a rejoint l'Alliance atlantique en 2004 — soulève des questions qui engagent directement la souveraineté nationale.

La chaîne d'approvisionnement révélée par l'enquête est particulièrement troublante. Les appareils ont été acquis par le ministère de l'Intérieur slovaque dans le cadre d'un marché public d'un montant de 30 millions d'euros, financé par des fonds de l'Union européenne. L'attribution du marché a contourné les procédures d'appel d'offres habituelles — un contrat de gré à gré a été accordé à Sodasus, une société enregistrée à Chypre. Les certifications présentées par Sodasus pour remporter le marché se sont révélées être des faux, et la société semble avoir été créée spécifiquement pour servir d'intermédiaire dans cette transaction. Aucun actionnaire ni dirigeant identifiable publiquement n'est associé à Sodasus, selon les vérifications effectuées par les enquêteurs.

L'enquête en cours cherche à déterminer comment Sodasus a pu obtenir ce contrat sans vérification préalable de ses certifications, et si des responsables slovaques ont activement facilité ou couvert cette transaction. L'opposition parlementaire, qui a pris connaissance de l'affaire, réclame la démission du ministre de l'Intérieur Matúš Šutaj Eštok, estimant que sa responsabilité politique est engagée dans l'acquisition d'équipements potentiellement conçus pour l'espionnage au profit d'une puissance étrangère. Le déploiement de l'ensemble du parc de radars NERO R-ONE est suspendu dans l'attente des conclusions complètes de l'enquête judiciaire et administrative.

Techniquement, le mécanisme SMS utilisé dans les NERO R-ONE représente une approche de persistence particulièrement robuste face aux outils de supervision réseau traditionnels. Contrairement aux backdoors qui communiquent via des connexions TCP/IP sortantes — détectables par des pare-feux ou des systèmes de détection d'intrusion — un module SMS récepteur ne génère pas de flux réseau visible sur les interfaces de monitoring standard. Les radars de vitesse, dont la connectivité réseau principale est souvent limitée à des transmissions de données routières formatées vers un serveur central, n'attirent généralement pas l'attention des équipes de sécurité réseau. Cette architecture de backdoor illustre un niveau de sophistication opérationnelle significatif, impliquant une réflexion approfondie sur les mécanismes de détection susceptibles de cibler le dispositif.

Des investigations complémentaires sont en cours pour déterminer si des caméras similaires ou d'autres équipements fournis par la même chaîne d'approvisionnement ont été déployés dans d'autres pays membres de l'Union européenne ou de l'OTAN. Plusieurs gouvernements européens ont été informés de la situation par les canaux de partage de renseignements de l'Alliance. Le Slovak Spectator rapporte que l'opposition slovaque a également demandé une vérification de tous les équipements technologiques acquis par le ministère de l'Intérieur au cours des cinq dernières années, craignant que cette affaire ne soit pas un cas isolé.

Cette découverte intervient dans un contexte de sensibilité accrue aux questions d'équipements technologiques d'origine étrangère au sein des États membres de l'OTAN et de l'Union européenne. En 2023, la Suède, la Norvège et le Royaume-Uni avaient retiré des équipements Dahua et Hikvision de leurs infrastructures sensibles en citant des préoccupations similaires. La différence majeure avec le cas slovaque réside dans la preuve technique directe d'une backdoor fonctionnelle — et non simplement dans une préoccupation préventive liée à l'origine géographique du fabricant.

La supply chain des infrastructures critiques : un angle mort stratégique pour l'Europe

L'affaire slovaque illustre avec une clarté particulière un problème systémique que les décideurs européens peinent encore à traiter efficacement : l'absence de contrôle cohérent de la chaîne d'approvisionnement des équipements technologiques déployés dans les infrastructures critiques. Si les secteurs des télécommunications et de l'énergie font l'objet d'une attention croissante — notamment sous l'impulsion de la directive NIS2 et des exigences de sécurité sur les réseaux 5G —, les systèmes périphériques tels que les radars routiers, les caméras de surveillance ou les équipements de contrôle du trafic restent dans un angle mort réglementaire. Un radar de vitesse n'est pas considéré comme un équipement critique au sens des directives européennes, et pourtant il peut être déployé dans des zones d'intérêt stratégique majeur.

Le vecteur de compromission choisi — l'infiltration via la chaîne d'approvisionnement plutôt que via une exploitation technique post-déploiement — est précisément celui que les agences de renseignement occidentales identifient comme le plus difficile à contrer. Une backdoor intégrée au niveau du firmware par le fabricant ne laisse aucune trace d'intrusion détectable par les outils de supervision traditionnels. Elle nécessite une analyse forensique du firmware lui-même pour être découverte, une opération que peu d'administrations ont les moyens ou les compétences de mener systématiquement sur les équipements qu'elles acquièrent. Le cas slovaque n'a été découvert que parce qu'une enquête ciblée a été déclenchée — non par une détection automatique de l'anomalie.

Le financement européen de cette acquisition ajoute une dimension politique supplémentaire à l'affaire. Des fonds de l'Union européenne ont, dans ce cas précis, financé l'achat d'équipements potentiellement conçus pour l'espionnage au profit d'une puissance étrangère hostile. Cela soulève des questions légitimes sur les mécanismes de contrôle appliqués par les institutions européennes aux marchés cofinancés par les fonds structurels. La Commission européenne pourrait être amenée à renforcer les conditions d'éligibilité des équipements technologiques dans les appels d'offres financés par l'UE, en imposant des exigences d'origine géographique vérifiable ou des audits de sécurité firmware préalables comme condition de versement des fonds.

Pour les entités françaises, l'enjeu est immédiat. La France déploie des centaines de milliers d'équipements connectés dans ses infrastructures routières, portuaires, ferroviaires et aéroportuaires. L'ANSSI dispose du cadre CSPN et du référentiel de sécurité des systèmes industriels, mais leur application aux équipements de supervision routière reste incomplète. L'affaire slovaque devrait accélérer une réflexion sur l'extension des exigences d'audit de sécurité firmware à l'ensemble des équipements connectés déployés dans les espaces publics, en particulier lorsqu'ils sont acquis auprès de fabricants établis dans des pays classés comme adversaires stratégiques par les services de renseignement nationaux.

Ce qu'il faut retenir

• Des radars routiers slovaques contenaient une backdoor SMS reliée à 12 numéros russes (régions de Saint-Pétersbourg et Kemerovo), permettant une prise de contrôle à distance complète via SMS.
• Les équipements — des CORDON PRO.M russes rebrandés NERO R-ONE — ont été achetés 30 millions d'euros via une société écran chypriote avec de fausses certifications, sur fonds européens, sans appel d'offres.
• L'affaire illustre l'urgence d'étendre les audits de sécurité firmware aux équipements IoT des infrastructures critiques et de renforcer les contrôles d'origine dans les marchés publics cofinancés par l'UE.