Anchetă explozivă a Parchetului European: Cum a ajuns softul pentru siguranţa frontierelor UE să treacă prin mâna ruşilor

Parchetul European (EPPO), condus de Laura Codruta Kovesi, examinează modul în care biroul din Moscova al unui contractor IT a contribuit la construirea noului sistem electronic de frontieră al UE, care va crea cea mai mare bază de date cu informaţii personale din blocul comunitar, informează Financial Times.

Potrivit unor documente pe care jurnaliştii de la publicaţia citată le-au consultat, grupul francez de IT Atos ar fi folosit personalul din Rusia pentru a cumpăra software în 2021 pentru un proiect extrem de sensibil, care vizează colectarea şi stocarea datelor biometrice ale tuturor vizitatorilor non-UE în Uniunea Europeană.

Dezvăluirea implicării Rusiei a ridicat semne de întrebare majore privind securitatea reformei ambiţioase a infrastructurii de frontieră a UE. Lansarea acesteia rămâne incertă, după ce UE a anulat mai multe termene stabilite din cauza problemelor tehnice.

Documentele divulgate sugerează că filiala Atos din Moscova funcţiona în baza unei licenţe care ar fi permis serviciului rus de securitate FSB să aibă acces la activitatea sa în ţară. Patru persoane la curent cu evenimentele au declarat că personalul de la Moscova a fost direct implicat în achiziţionarea de software pentru sistemul de frontieră, activitate care ar necesita în mod normal o autorizaţie de securitate UE.

Potrivit a două persoane care au cunoştinţă de anchetă, EPPO investighează acum implicarea Atos Rusia în proiectul de frontieră.

EPPO a declarat că nu comentează cazurile şi nu confirmă public investigaţiile pe care le desfăşoară. Până în prezent nu au fost formulate acuzaţii.

Aşa-numitul sistem de intrare/ieşire (EES) al UE va colecta date care urmăresc deplasările fiecărui călător străin care intră sau iese din Uniune, înregistrând informaţii biometrice şi personale, precum şi statutul vizei. Atos Belgia a câştigat contractul EES, în valoare de 212 milioane EUR, împreună cu IBM Belgia şi Leonardo din Italia în 2019.

OLAF, organismul de supraveghere antifraudă al UE, a investigat anul trecut acuzaţiile privind implicarea Atos Rusia, o anchetă care nu a fost dezvăluită anterior. Acesta a constatat că măsurile luate pe plan intern de EU-Lisa, agenţia care pune în aplicare EES, pentru a aborda „problemele de securitate” nu au fost suficiente, potrivit unei persoane care cunoaşte direct ancheta.

Sursa a declarat că nu au fost găsite suficiente dovezi pentru a deschide o anchetă în cadrul mandatului antifraudă al Olaf, dar au fost emise recomandări către EU-Lisa pentru remedierea deficienţelor. OLAF a refuzat să comenteze.

„Suntem conştienţi de faptul că EU-Lisa cooperează îndeaproape cu OLAF [...] agenţia poate lua toate măsurile legale necesare dacă se dovedeşte necesar”, a declarat un purtător de cuvânt al Comisiei Europene.

EU-Lisa a declarat că era „conştientă de acuzaţiile legate de implicarea Atos Russia” în proiect şi că „nu a avut niciodată relaţii contractuale cu Atos Russia”.

Agenţia susţine că „nu a fost identificată nicio încălcare a securităţii” şi că „a continuat să efectueze evaluări sistematice ale securităţii şi a luat toate măsurile relevante de când a aflat despre acest lucru”.

Licenţele software, achiziţionate prin filiala de la Moscova

Licenţele software necesare pentru anumite părţi ale EES au fost achiziţionate prin birourile Atos din Moscova în 2021, potrivit documentelor interne obţinute de FT. Nu există nicio dovadă că filiala Atos din Moscova a fost implicată în activitatea EES după invazia la scară largă a Rusiei în Ucraina în 2022.

Sucursala Atos, din 2016, a funcţionat în baza unei licenţe acordate de FSB, una dintre agenţiile succesoare ale KGB-ului din Uniunea Sovietică. Aceasta acoperea „dezvoltarea, producţia, distribuţia de instrumente de criptare (criptografice), sisteme informatice şi sisteme de telecomunicaţii”, conform înregistrărilor publice ruse.

Andrei Soldatov, autor şi expert în serviciile de securitate din Rusia, a declarat că o astfel de licenţă acordă FSB o „uşă din spate” în activităţile Atos Russia.

„Ei se pot uita la tot ceea ce face această companie”, a spus Soldatov.

Atos a declarat că a renunţat la activităţile sale din Rusia în septembrie 2022, în urma invaziei. Atos, IBM şi Leonardo au refuzat să comenteze.

Un oficial european a declarat că dezvăluirile despre Atos Rusia au ridicat întrebări urgente cu privire la accesul la un proiect atât de sensibil.

„Problema securităţii vine imediat în minte din cauza cantităţii enorme de date pe care [EES] ar conţine-o”, a spus acesta.

Atos şi-a folosit biroul din Rusia pentru a achiziţiona software pentru o parte a SEAE care ar permite companiilor aeriene să verifice informaţiile despre călători, cum ar fi statutul vizei, potrivit documentelor divulgate şi a patru persoane implicate în vânzarea de software la Atos, EU-Lisa şi furnizorii acestora.

Iulia Plavunova, o angajată Atos cu sediul la Moscova, a fost contactul „principal” al clientului pentru o achiziţie de certificate criptografice de la compania americană AppViewX care ajută la verificarea utilizatorilor acelei părţi a EES, conform documentelor divulgate.

Adresa din Moscova a Atos este, de asemenea, menţionată în documente în legătură cu o licenţă de software vândută de grupul elveţian Magnolia pentru aşa-numitul middleware care conectează diferite părţi ale sistemului informatic.

Atât AppViewX, cât şi Magnolia au confirmat că Atos a folosit biroul său din Moscova pentru achiziţii, în timp ce contractele lor erau cu Atos Franţa şi Atos Belgia.

Un fost angajat al Atos care lucra la proiect a declarat că Plavunova „făcea parte din biroul de achiziţii” şi că „era implicată în mod constant în achiziţiile care implicau contractori terţi”.

Angajatul a declarat că nu ştiau că Plavunova era stabilită în Rusia şi că acest lucru era „ciudat”, deoarece numai „personalul autorizat de UE” putea fi desemnat pentru proiect.

Toţi angajaţii contractorilor IT care lucrează la proiect „trebuie să deţină o autorizaţie de securitate valabilă la nivelul EU Secret, emisă de o Autoritate Naţională de Securitate [dintr-un stat membru] înainte de a furniza servicii”.

EU-Lisa a declarat că „nu a fost identificată nicio încălcare a securităţii”, deoarece angajatul Atos Rusia „nu a avut acces la sistemele IT, la informaţiile sensibile sau la sediile EU-Lisa”. Software-ul achiziţionat de AppViewX nu a fost utilizat niciodată, iar Magnolia a fost utilizat până în 2022, potrivit EU-Lisa.

Plavunova a declarat că a părăsit Atos în 2021 şi „nu poate dezvălui nicio informaţie care aparţine fostului meu angajator”. Ea a spus că activitatea sa de cumpărător de software „nu a avut legătură cu afacerile Atos Rusia” şi că Atos „a oferit angajaţilor oportunităţi egale de a lucra pentru diferite regiuni [...] A fi rus nu înseamnă a lucra pentru FSB”.

Un purtător de cuvânt al Comisiei Europene a declarat că are „deplină încredere în capacitatea EU-Lisa de a gestiona securitatea EES” şi că EU-Lisa va „efectua un audit de securitate înainte ca EES să intre în funcţiune”.