Huawei ha avuto accesso totale e non supervisionato ai dati di milioni di olandesi per anni, rivela il quotidiano fiammingo Volksrant, e potrebbe aver seminato porte di accesso celate nei sistemi informatici occidentali che ha aiutato a costruire. Per anni il gigante tecnologico cinese ha potuto usufruire dei contenuti presenti nel sistema di Telfort, un operatore olandese confluito nel gruppo KPN e smantellato nel 2019.

Questo è quanto si apprende da un rapporto del 2011 emerso di recente. Si tratta di una ricerca interna svolta dalla stessa KPN, che però non ha mai segnalato i ritrovamenti alle autorità perché la legge al tempo non lo richiedeva. “Non c’era ragione di ritenere che i dati dei clienti Telfort fossero stati rubati”, ha dichiarato un portavoce di KPN. Ma svariate fonti, tra cui i servizi segreti olandesi, raccontano un’altra storia.

“Sapevamo che era sbagliato”, ha detto una fonte interna sentita da Volksrant; “Huawei aveva accesso ai dati dei clienti e se avesse voluto avrebbe potuto mandare tutto in Cina. Ma non è stata condotta nessuna ricerca su cosa esattamente abbia copiato”. Anche perché il tracciamento delle attività di Huawei era spento, dunque è impossibile capire quanti dati siano stati trafugati.

La vicenda ha fatto drizzare le orecchie all’AIDV, l’agenzia locale di intelligence e sicurezza. Da anni gli 007 olandesi fanno parte dei servizi occidentali che parlano dei pericoli di spionaggio cinese. L’AIDV ha avvertito che i ritrovamenti del rapporto KPN sono rilevanti perché gruppi di hacker cinesi hanno tentato più volte di accedere ai sistemi della telco; in due casi, i dati dei clienti in mano ai gruppi ostili coincideva con i dati di KPN.

In seguito agli avvertimenti degli 007, KPN aveva controllato i propri sistemi senza trovare niente. Ma nel 2019 un gruppo di specialisti e agenti dell’AIDV hanno scoperto un percorso di accesso celato nei server di Hilversum, una cittadina poco distante da Amsterdam. Solamente Huawei poteva accedervi.

Il peccato originale è stato commesso nel 2010, quando Telfort (già sotto l’ala di KPN) si è affidata a un sistema di gestione dei clienti e della fatturazione costruito da Huawei. La ricostruzione dei ricercatori di KPN coinvolge anche l’azienda americana HP, che ha supervisionato la transizione e non si è accorta delle irregolarità: Huawei aveva accesso al database dei clienti e il potere di vedere, cancellare e spostare i dati senza che queste attività fossero monitorabili.

Bart Jacobs, professore di informatica alla Radboud University e membro del Consiglio di cibersicurezza olandese, ha detto a Volksrant che il rapporto del 2011, per quanto datato, è utile per capire il metodo di Huawei ed evidenziare le enormi falle di sicurezza nei sistemi telco. Talfort è stata la prima compagnia europea a collaborare con Huawei, nel 2004, e l’azienda cinese ha costruito sistemi in maniera da mantenere accesso totale.

“Il rapporto interno non dice che tutti i dati dei clienti Telfort sono finiti in Cina, ma spiega che Huawei ha avvocato a sé il potere di farlo. Apparentemente è così che consegnano i loro software. Quella è la lezione importante: la stessa Huawei sembra essere profondamente presente nei software consegnati”.

Un portavoce di Huawei ha detto a Volksrant che l’azienda non è a conoscenza del rapporto incriminato. Pechino nega di condurre attività di ciberspionaggio attraverso le aziende tecnologiche. Ma diversi enti occidentali (tra cui il Copasir) sottolineano che la legge cinese prevede che lo stato abbia il potere di richiedere i dati delle compagnie, private e non, per ragioni di sicurezza.

Il governo olandese ha bandito i componenti 5G di Huawei dalla rete “core” (centrale) nel 2019, a causa dei sospetti di ciberspionaggio. Anche il Belgio sta pianificando una mossa simile, mentre l’Inghilterra ha ufficialmente escluso Huawei nel 2020.

L’Italia non ha messo a bando la compagnia cinese, ma il governo Draghi ha già fatto uso del golden power per controllare la fornitura di Fastweb, che ha stipulato un contratto di fornitura con l’altro colosso cinese ZTE. La linea del Copasir è di usare la massima prudenza nei confronti di Huawei e ZTE e considerarne l’esclusione definitiva dalla rete 5G.

[Aggiornamento] In serata il distaccamento olandese di Huawei ha rilasciato un comunicato in cui ha sottolineato di essersi attenuto alle procedure standard. La compagnia ha asserito che non elabora mai dati non autorizzati né li condivide con terze parti, e ha sottolineato che “gli accordi di monitoraggio stipulati in merito al trattamento dei dati rimangono principalmente responsabilità dei fornitori di servizi di telecomunicazione”.