Nikt nie musiał otwierać kamery

Kamery na dronach nawodnych Royal Navy podróżowały z deklaracją zgodności, na której polegali wszyscy wyżej. Standard stojący za tą deklaracją wskazuje firmy, nie państwo, nie ma mocy prawnej w brytyjskim zakupie i definiuje należytą staranność, we własnym brzmieniu, jako rozeznanie, które nigdy nie wymaga zajrzenia do środka. Puls trafił do Chin przez dokumenty, które mogły nigdy nie być błędne.

Dwa słowa wykonały tu całą pracę: zgodne z NDAA.

W handlu kamerami bezpieczeństwa to określenie odsyła do jednej ustawy. Sekcja 889 ustawy John S. McCain National Defense Authorization Act for Fiscal Year 2019 to przepis, który Stany Zjednoczone napisały, aby trzymać chiński sprzęt obserwacyjny z dala od systemów rządowych. Branża ułożyła się wokół niego: producenci publikują deklaracje zgodności z NDAA na poziomie modeli, a kupujący wpisują ten termin do list kontrolnych zamówień. Gdy Kraken Technology Group opisała kamery na K3 Scouts Royal Navy jako „zewnętrzne, zgodne z NDAA”, przywołała właśnie ten standard. Oświadczenie Kraken nie wskazuje konkretnej klauzuli i nic opublikowanego później też jej nie wskazało, ale na tym rynku skrót ma tylko jeden punkt odniesienia.

To, co standard faktycznie mówi, jest węższe, niż sugeruje skrót, i dziwniejsze.

Pięć nazw i podpis

Zakaz znajduje się w amerykańskim Federal Acquisition Regulation, w klauzuli 52.204-25. „Objęty” sprzęt oznacza sprzęt telekomunikacyjny produkowany przez Huawei lub ZTE; sprzęt do monitoringu wideo i sprzęt telekomunikacyjny produkowany przez Hytera, Hangzhou Hikvision lub Dahua, jeśli kupiono go do celów bezpieczeństwa; każdą spółkę zależną lub powiązaną z tą piątką; oraz, jako ostatnią kategorię, sprzęt od każdego podmiotu, co do którego sekretarz obrony USA „rozsądnie uważa”, że należy do chińskiego rządu, jest przez niego kontrolowany albo w inny sposób z nim powiązany. Pięć wskazanych firm i uprawnienie do wskazywania kolejnych, z którego trzeba korzystać nazwa po nazwie.

Nigdzie w tej definicji kryterium nie jest kraj pochodzenia. Kamera zmontowana w Shenzhen przez firmę, która nie widnieje na żadnej liście, spełnia wymogi. Tak samo każdy moduł w jej wnętrzu, niezależnie od tego, gdzie wyprodukowano części, o ile nie wytworzył ich podmiot wpisany na listę albo wskazany decyzją. Oświadczenie Krakena, że jego kamery zgodne z NDAA „miały niewielką liczbę komponentów pochodzących spoza Wielkiej Brytanii”, na pierwszy rzut oka brzmi jak sprzeczność. Jest jednak dokładnym opisem tego, jak działa ten standard.

Sekcja 889 ma też drugą cechę, o której nie wspomniała żadna relacja na ten temat. To amerykańskie federalne prawo zamówień publicznych. Zakaz wiąże „kierownika agencji wykonawczej” rządu amerykańskiego; klauzula trafia do amerykańskich kontraktów federalnych. Nic w niej nie reguluje tego, co może kupić brytyjskie Ministerstwo Obrony, i nic w niej nie zobowiązywało nikogo w tym łańcuchu dostaw do czegokolwiek. Przy zakupie dla Royal Navy „zgodność z NDAA” nie jest statusem regulacyjnym. To opis produktu, zapożyczony z cudzego zbioru zasad.

Należyta staranność według definicji

Pozostaje pytanie, jak firma wykazuje zgodność z przepisami. Tu regulacja wprost określa własne granice. Klauzula 52.204-25 definiuje oczekiwany standard staranności:

Rozsądne rozeznanie oznacza rozeznanie mające ujawnić wszelkie informacje znajdujące się w posiadaniu podmiotu na temat tożsamości producenta lub dostawcy objętego regulacją sprzętu telekomunikacyjnego albo usług telekomunikacyjnych używanych przez ten podmiot, z wyłączeniem konieczności przeprowadzenia audytu wewnętrznego lub audytu strony trzeciej.

Rozeznanie, które wyklucza potrzebę audytu. Przepis przewiduje pytanie, czy ktokolwiek musi rozebrać sprzęt na części, i odpowiada na nie w definicji: nie.

Z tego wynika mechanizm, który pozwala złożyć deklarację zgodności. Powiązana klauzula, FAR 52.204-24, jest oświadczeniem. Sprzedawca zaznacza rubrykę przy każdej ofercie, wskazując, czy dostarczy objęty regulacją sprzęt, oraz drugą, w której stwierdza, czy „po przeprowadzeniu rozsądnego rozeznania” używa jakiegokolwiek takiego sprzętu. Pierwsza rubryka nie wiąże się nawet z wymogiem rozpoznania. Jedyną procedurą, którą klauzula nakazuje, jest sprawdzenie amerykańskiej bazy wykluczonych firm. W takim reżimie w dół łańcucha dostaw nie wędruje wynik testu. Wędruje oświadczenie sprzedawcy o nim samym.

Źródło z kręgów obronnych powiedziało „Telegraphowi”, że sprawa była „poważnym zaniedbaniem przy sprawdzaniu pochodzenia komponentów”. Według standardu, którego nazwa widniała na kamerach, sprawdzanie pochodzenia nigdy nie było niczyim zadaniem. Certyfikat to należyta staranność.

Jak zgodna z przepisami kamera melduje się do domu

Żadna z opublikowanych relacji nie wyjaśnia mechanizmu, przez który kamera z dokumentami w porządku zaczyna łączyć się z Chinami. Taki udokumentowany mechanizm istnieje i ma siedem lat.

W kwietniu 2019 r. badacz bezpieczeństwa Paul Marrapese opublikował analizę iLnkP2P, oprogramowania peer-to-peer napisanego przez chińską firmę Shenzhen Yunni Technology i wbudowanego w miliony kamer podłączonych do internetu, rejestratorów wideo i elektronicznych niań. Jego skanowanie wykazało ponad dwa miliony takich urządzeń online. Opisane przez niego zachowanie niemal słowo w słowo pasuje do historii Royal Navy: „Po podłączeniu do sieci urządzenia iLnkP2P regularnie wysyłają komunikat heartbeat, czyli »tu jestem«, do wstępnie skonfigurowanych serwerów P2P i czekają na dalsze instrukcje”.

Trzy cechy tego układu mają tu zastosowanie. Sygnalizacja jest celowa: sygnał podtrzymujący istnieje po to, by klient mógł oglądać obraz z kamery na telefonie bez konfigurowania routera. To argument sprzedażowy, świadomie wpisany w oprogramowanie układowe. Nie widać jej po marce: jeden chiński dostawca, HiChip, odpowiadał za niemal połowę objętych problemem urządzeń sprzedawanych pod szeregiem innych nazw, a Marrapese opisał Shenzhen Yunni jako „dostawcę wyższego szczebla z niemożliwą do oszacowania liczbą poddostawców z powodu praktyki sprzedaży pod cudzą marką i odsprzedaży”. I nie daje się łatwo wyłączyć: nie ma praktycznego sposobu, by ją dezaktywować, oprogramowanie omija kontrolę routera techniką UDP hole punching, a środkiem zaradczym wskazanym przez Marrapese dla już zainstalowanych urządzeń była reguła zapory blokująca ruch na brzegu sieci. W istocie chodziło o odebranie kamerze sieci. To właśnie zrobiło Ministerstwo Obrony.

Ani Shenzhen Yunni, ani HiChip nie są wymienione w sekcji 889.

Nie tylko my tak to odczytujemy. Pisząc w „Telegraph” 10 sierpnia, były oficer Royal Navy Tom Sharpe zadał to pytanie Lee Hannafordowi, dyrektorowi ds. obronności, bezpieczeństwa narodowego i wywiadu w firmie doradczej Larkspur International. Hannaford powiedział, że wiele chińskich urządzeń i podsystemów, wśród nich kamery, baterie i komórkowe moduły internetu rzeczy, „zaprojektowano tak, by wymagały stałej łączności cyfrowej z organizacjami macierzystymi”. Gdy takie kanały już istnieją, mówił, „można je wykorzystać” do „zbierania danych, dowodzenia i kontroli albo wcześniejszego przygotowania do zakłóceń”, a „szyfrowanie danych ładunku nie eliminuje ryzyka”.

To ten sam mechanizm, opisany od drugiej strony. Marrapese znalazł go w 2019 r. w oprogramowaniu układowym kamer konsumenckich. Hannaford opisuje go w 2026 r. jako cechę projektową klasy komponentów, do której należy ten na tym maszcie. Żaden z nich nie mówi o włamaniu. Mówią o funkcji.

Nic z tego nie identyfikuje kamer K3. W żadnej opublikowanej relacji nie wskazano producenta, i ten tekst także żadnego nie wskaże: Pollar dysponuje fotografiami urządzenia, białej morskiej kamery elektrooptycznej z parą okien, dziennym i termowizyjnym, należącej do klasy sprzętu sprzedawanego przez wiele firm. W tekście o sprzęcie wysyłającym sygnały do Chin identyfikowanie produktu handlowego na podstawie wizualnego podobieństwa byłoby zniesławiające, gdyby było błędne, i nieweryfikowalne, gdyby było trafne. Badanie z 2019 r. ustala nie winnego, lecz drogę: zwyczajny, masowy i całkowicie legalny sposób, w jaki kamera z prawdziwym oświadczeniem o zgodności może co pewien czas informować serwer w Chinach, że żyje.

Dwie interpretacje, jedno źródło

Ponieważ dostawca nie jest znany, opublikowany zapis pozwala na dwie wersje historii certyfikatu i nie daje podstaw, by wybrać jedną z nich.

W pierwszej certyfikat był prawidłowy. Kamery zawierały części od chińskich producentów, których sekcja 889 nie wymienia, oświadczenie było prawdziwe w chwili złożenia, a łodzie i tak sygnalizowały Chiny, ponieważ standard nigdy nie miał temu zapobiegać.

W drugiej certyfikat był błędny. Kamery były sprzętem sprzedawanym pod cudzą marką przez podmiot z listy, a nikt tego nie wychwycił, ponieważ standard należytej staranności wyłącza krok, który by to wykazał. Wytyczne branżowe dotyczące zgodności traktują to jako rutynę: „Kamera sprzedawana pod marką brzmiącą amerykańsko lub europejsko nadal może być Hikvisionem albo Dahuą na poziomie sprzętowym”, wskazuje briefing zgodności IntelliSee z maja 2026 r., który uznaje audyty zapasów sprzętu pod cudzą marką za najczęstsze źródło ustaleń dotyczących sekcji 889 w 2025 i 2026 r. Narzędziem, które w takich przypadkach prowadzi do ustaleń, jest audyt, czyli krok, z którego definicja rozsądnego rozeznania zwalnia.

Obie wersje mają wspólne źródło. W jednej dokumenty były prawdziwe i niewystarczające. W drugiej były fałszywe i niezweryfikowane. Tak czy inaczej, gwarancją, na której opierał się łańcuch dostaw Royal Navy, było oświadczenie, którego nikt nie musiał sprawdzać. I tak czy inaczej, oświadczenie nadal obowiązuje: nikt go nie wycofał i nic z opublikowanych informacji mu nie przeczy.

Brytyjskie instrumenty także są deklaracjami

Wygodnie byłoby odczytać to jako przypadek, w którym amerykański standard zawiódł brytyjskiego nabywcę. Własne brytyjskie instrumenty są skonstruowane tak samo.

Ministerstwo Obrony wprowadza wymogi cyberbezpieczeństwa do łańcucha dostaw przez Cyber Security Model, narzucany w umowach przez Defence Condition 658. Zespół realizacyjny ocenia daną czynność i ustala profil ryzyka. Następnie, według opublikowanego brzmienia resortu, „dostawcy dokonują samooceny zgodności z wymogami CSM za pomocą Kwestionariusza Zapewnienia Dostawcy”. Kwestionariusz jest oceniany automatycznie, a dostawca od razu dowiaduje się, czy przeszedł weryfikację. Główni wykonawcy prowadzą ten sam proces wobec podwykonawców, a ci wobec swoich, „dalej w dół poziomów podwykonawstwa, aż do końca łańcucha dostaw”. Ten system reguluje stan cyberbezpieczeństwa dostawcy, a nie pochodzenie sprzętu wewnątrz dostarczonego produktu. Opublikowane wytyczne nie przesądzają, że obejmuje on tę kamerę. Sednem jest schemat: na każdym poziomie brytyjskiego obronnego łańcucha dostaw instrumentem zapewnienia jest kwestionariusz, który dostawca wypełnia na własny temat.

Wielka Brytania ma też własną regułę dotyczącą chińskiego sprzętu do nadzoru, starszą niż ta historia i szerszą niż sekcja 889. W listopadzie 2022 r. Oliver Dowden poinformował Parlament, że resorty otrzymały polecenie „zaprzestania instalowania takiego sprzętu na obiektach wrażliwych, jeżeli jest on produkowany przez firmy podlegające ustawie o wywiadzie narodowym Chińskiej Republiki Ludowej”. To test jurysdykcji, a nie lista nazw, i wprost obejmuje firmy, których amerykańska klauzula nie obejmuje. W tym samym oświadczeniu zalecono, że żadnego takiego sprzętu „nie powinno się podłączać do rdzeniowych sieci departamentów”. W Whitehall wskazano cztery lata temu wektor, którego użyła ta kamera. Ale instrukcja odnosi się do obiektów. Resortom polecono także rozważyć, czy usuwać i wymieniać taki sprzęt tam, gdzie już go zainstalowano. W żadnej publikacji nie ma informacji, by ktokolwiek zastosował cokolwiek z tego do łodzi.

Czego nie ma w publicznym zapisie

Na 11 sierpnia 2026 r. żaden opublikowany opis nie podaje, jak często kamery wysyłały sygnał, która firma je wyprodukowała, jaki podmiot zewnętrzny sprzedał je Krakenowi, ile z dwudziestu kadłubów objął problem, kiedy przeprowadzono ocenę podatności ani co ją wywołało, czy kamery wymieniono, czy tylko odłączono, czy te same urządzenia znajdują się na innym sprzęcie Ministerstwa Obrony, ani co było po drugiej stronie połączenia.

Stanowisko ministerstwa się nie zmieniło: rutynowa ocena wykryła problem, a szczegółowe dochodzenie „nie znalazło dowodów na to, by uzyskano dostęp do danych lub systemów MoD, by je naruszono albo przesłano na zewnątrz”. Nic z tego, co opublikowano, nie daje powodu, by w to wątpić, a ten argument takiego powodu nie potrzebuje.

Przyjmijmy zaprzeczenie w całości za dobrą monetę, a pytanie i tak pozostaje. Sygnał, który nie niesie żadnej treści, nadal mówi odbiorcy, że urządzenie istnieje, że jest zasilane, że ma drogę na zewnątrz i że w chwili, gdy milknie, coś się z nim zmieniło. Sharpe sięga po sprawę, która upubliczniła ten problem: w 2018 r., pisze, mapy cieplne aktywności Stravy „ujawniły rzekomo tajne zachodnie bazy, publikując trasy joggingowe żołnierzy”. Tam też niczego nie zhakowano. Opublikowano to, gdzie i kiedy byli ludzie, w ujęciu zagregowanym, i to właśnie była baza. Jego własne porównanie dotyczy sygnałów powitalnych telefonów, które pojedynczo zdradzają niemal nic, a liczone w milionach „ujawniają lokalizacje, wzorce życia i tempo”.

Dlatego tego nie lekceważy. „Wiedza o tym, kiedy i być może gdzie budzi się kamera na jednostce sił specjalnych”, pisze, „to nie jest nic”.

Geografia to jedyne miejsce, w którym publiczny zapis sam sobie przeczy, i lepiej to pokazać, niż wygładzić. „Telegraph” sfotografował K3 w porcie w Portsmouth, a własne zawiadomienie King's Harbour Master wskazuje, że próby K3 w Solent potrwają do grudnia. Ale 10 sierpnia „Telegraph” napisał też, że flota jest „obsługiwana z kwatery głównej Special Boat Service w Poole od marca”, podczas gdy marcowy komunikat Royal Navy przypisał łodzie do Coastal Forces Squadron i do 47 Commando Royal Marines, formacji stacjonujących w Portsmouth oraz w RM Tamar w Devonport. Obie wersje opublikowano, żadnej nie wycofano, a obie naraz nie mogą być pełnym obrazem. Pierwotny raport twierdzi wężej, że dronów używały siły specjalne oraz że na obrazie z kamer mógł pojawić się personel z poświadczeniem bezpieczeństwa pracujący w ich kwaterze głównej.

W maju MoD podało, że drony będą częścią potencjalnego rozmieszczenia mającego chronić żeglugę w cieśninie Ormuz, w razie trwałego zawieszenia broni. Nie odnotowano tam żadnego K3. Stawka związana z polem widzenia kamery nie była hipotetyczna.

Audyt przyszedł późno

Żaden z tych elementów wyposażenia nie został kupiony lekkomyślnie, i właśnie to nadaje tej historii kształt. Kontrakt przeszedł przez konkurencyjny przetarg z dwunastoma oferentami, wśród nich były BAE Systems, Kongsberg i L3Harris. Decyzję podjęto 5 marca, a ogłoszono ją 11 marca. Wartość wyniosła 10,25 mln funtów bez VAT. Wygrała spółka założona w 2020 r., której inwestorami są m.in. NATO Innovation Fund oraz brytyjski National Security Strategic Investment Fund. Wśród jej klientów jest Dowództwo Operacji Specjalnych Stanów Zjednoczonych, a sama firma buduje sprzęt we współpracy z dywizją morską Rheinmetalla. Rząd obiecał 5 mld funtów na technologię dronową i zapowiadał, że zamówienia będą „bez skrępowania nastawione na Wielką Brytanię”. Był to łańcuch o najlepszych referencjach, jaki brytyjska technologia obronna mogła zbudować. A jego gwarancja nadal składała się z deklaracji.

Odpowiedź Krakena na tę historię zasługuje na przytoczenie w całości: „Wiemy, że niektóre kamery od podmiotów trzecich, zgodne z NDAA, miały niewielką liczbę komponentów pochodzących spoza Wielkiej Brytanii. Po pełnym audycie przeprowadzonym zarówno przez Krakena, jak i Royal Navy jesteśmy pewni, że żadne informacje wrażliwe nigdy nie zostały udostępnione poza zamierzonymi kanałami, a wszelkie potencjalne podatności zostały zidentyfikowane i usunięte”. Oświadczenie nie wymienia żadnego kraju. Wymienia za to audyt, przeprowadzony wspólnie przez producenta i marynarkę wojenną. To dokładnie ta forma staranności, z której definicja samego standardu zgodności zwalnia. Odbył się po tym, jak wykryto puls.

Reakcja polityczna prowadzi w tę samą stronę. Alicia Kearns, minister bezpieczeństwa w gabinecie cieni: „Jeśli nie możemy z przekonaniem powiedzieć, co znajduje się w naszym własnym sprzęcie wojskowym, nie możemy powiedzieć, że jest nasz, ani że jesteśmy suwerenni”. Jej partia wezwała rząd, by „pilnie przeprowadził audyt” sprzętu pod kątem chińskich komponentów. Audyt odpowiedziałby na pytanie. Jest też dokładnie tym krokiem, którego standard podlegający audytowi, jak sam stanowi, nigdy od nikogo nie wymagał.

Internet zdjęto z kamer. Opublikowane dokumenty nie mówią, że kamery zdjęto z łodzi. A dwa słowa, które wędrowały razem z nimi, od nienazwanego podmiotu trzeciego do producenta i dalej do marynarki, pozostają, w świetle wszystkiego, co opublikowano, prawdziwe.

---

Źródła: The Telegraph, 9 i 10 sierpnia 2026 r. (drugi tekst autorstwa Toma Sharpe’a, zawierający materiały Hannaforda i ze Stravy); The Register, 10 sierpnia 2026 r.; The Wall Street Journal, 10 sierpnia 2026 r.; The Independent, 10 sierpnia 2026 r.; Navy Lookout, 11 marca 2026 r., w sprawie przetargu, oferentów, założenia Krakena, jego inwestorów, prac dla Dowództwa Operacji Specjalnych Stanów Zjednoczonych i wspólnego przedsięwzięcia z Rheinmetallem; własne ogłoszenie Royal Navy o udzieleniu zamówienia, 11 marca 2026 r.; ogłoszenie Ministerstwa Obrony o udzieleniu zamówienia w Find a Tender, 2026/S 000-021405, w sprawie daty decyzji 5 marca i obu wartości kontraktu; Kraken Technology Group; FAR 52.204-24 i 52.204-25, acquisition.gov; KrebsOnSecurity, 2 kwietnia 2019 r., o badaniach Paula Marrapese; nota zgodności IntelliSee, maj 2026 r.; gov.uk, Cyber Security Model; pisemne oświadczenie ministerialne HCWS386, 24 listopada 2022 r. Pollar przed publikacją nie zwrócił się do Ministerstwa Obrony ani Kraken Technology Group z prośbą o komentarz.