Awarie w pociągach Newagu. Sprawą zajmie się teraz UOKiK
- Spółka Newag odpiera zarzuty, że manipulowała w oprogramowaniu swoich pociągów, żeby wywołać celowe usterki. Broni się, że w kwietniu 2023 r. zawiadomiła ABW i SKW o podejrzeniu ingerencji „podmiotów trzecich” w system sterowania pociągami
- Producent taboru kolejowego w tym samym czasie nie zawiadomił jednak o potencjalnym problemie Agencji Kolejowej Unii Europejskiej. Unijne dyrektywy dają firmie taką możliwość
- O tym, że Newag mógł niezgodnie z prawem programować komputery w swoich pociągach, od wielu miesięcy wiedział też Urząd Transportu Kolejowego oraz Urząd Ochrony Konkurencji i Konsumenta
- Zdaniem naszych rozmówców UTK schował jednak „głowę w piasek”, a UOKiK początkowo nie zrozumiał istoty problemu. Dopiero po publikacjach w mediach z początku grudnia i działaniach polityków Lewicy ten drugi urząd wrócił do sprawy
- Więcej podobnych tekstów znajdziesz na głównej stronie Onetu
Na początku grudnia wyszło na jaw, że spółka Newag z Nowego Sącza, jeden z największych polskich producentów taboru szynowego, mógł wprowadzać „złośliwe” oprogramowanie w swoich pociągach Impuls. Tak, by miały awarie w określonych sytuacjach. Takie poważne oskarżenia wysunęli pod adresem spółki specjaliści ds. cyberbezpieczeństwa z grupy Dragon Sector, którzy w ubiegłym roku zaczęli analizować przyczyny nietypowych usterek w pociągach wyprodukowanych przez Newag, które jeżdżą w różnych miejscach Polski.
Po kilku miesiącach prac, w grudniu 2022 r., hakerzy z Dragon Sector poinformowali o swoim odkryciu specjalistów z CERT Polska, o sprawie dowiedziała się również ABW i inne państwowe instytucje. Następnie, po kilku miesiącach, w kwietniu 2023 r., oskarżany przez hakerów Newag zaprezentował swoje stanowisko, w którym zaczął obwiniać hakerów o działania niezgodne z prawem. Producent pociągów informował ABW i SKW, że dowiedział się o ingerencji „podmiotów trzecich” w system sterowania pociągami. Kreślił przy tym katastroficzne scenariusze zamachów na pociągi.
Unijna agencja od kolei o niczym nie wiedziała
Okazuje się, że choć nowosądecka firma twierdziła, że wskutek działań hakerów istnieje ryzyko przejęcia pociągu i spowodowania wielkich na kolei, o takim potencjalnym zagrożeniu, to nie informowała Europejskiej Agencji Kolejowej.
— Agencja jest odpowiedzialna za udostępnienie sektorowi kolejowemu informacji, które mogą wpływać na poziom bezpieczeństwa na kolei w całej Unii Europejskiej — informuje Onet biuro prasowe ERA. — Dlatego na naszej stronie internetowej w 2016 r. stworzyliśmy narzędzie SAIT (Safety Alerts IT tool), poprzez które każdy uczestnik rynku kolejowego w państwach członkowskich Unii Europejskiej i Norwegii może zgłaszać problemy w systemie bezpieczeństwa. W związku z pytaniem Onetu sprawdziliśmy, czy firma Newag SA w okresie od początku 2022 r. do dnia dzisiejszego zgłaszała nam cokolwiek poprzez narzędzie SAIT. Nic takiego nie miało miejsca — dodają urzędnicy ERA.
Zgodnie z tym, co można wyczytać na stronie internetowej Agencji Kolejowej Unii Europejskiej, Newag miał możliwość zgłoszenia zagrożenia, jeśli uznał, że takie występuje.
„System SAIT stworzony został wyłącznie dla przedsiębiorstw kolejowych, zarządców infrastruktury, podmiotów odpowiedzialnych za utrzymanie, producentów, dostawców usług konserwacji, posiadaczy pociągów, usługodawców, podmiotów zamawiających, przewoźników, osób ładujących czy rozładowujących pociągi — pisze UTK.
Spytaliśmy Newag, dlaczego w unijnej procedurze SAIT spółka nie zgłaszała potencjalnego zagrożenia.
— To dobre pytanie, tyle że adresowane powinno być nie do nas — odpowiada Łukasz Mikołajczyk, rzecznik prasowy Newagu. — My powiadomiliśmy ABW i SKW o działaniach stwarzających zagrożenie dla bezpieczeństwa infrastruktury krytycznej kraju, do której zalicza się kolej. Natomiast obowiązek oceny zasadności zgłoszenia alertu i samo jego zgłoszenie ciąży na podmiotach odpowiedzialnych za utrzymanie. (…) Podmiotami odpowiedzialnymi za utrzymanie, innymi słowy: zadbanie, żeby pojazd mógł się sprawnie i bezpiecznie poruszać, są najczęściej przewoźnicy kolejowi tj., Koleje Mazowieckie czy Polregio S.A — dodaje Mikołajczyk.
Po dokładnej analizie przepisów okazuje się, że spółka Newag faktycznie nie miała obowiązku zgłaszać potencjalnego zagrożenia sama. Mogła jednak to zrobić, bo ERA daje producentom taką możliwość na zasadzie dobrowolności.
„Korzystanie z SAIT jest obowiązkowe w przypadku podmiotów odpowiedzialnych za utrzymanie (…)” — informuje Agencja Kolejowa Unii Europejskiej. Dodaje jednak, że „korzystanie z narzędzia informatycznego SAIT jest nadal dobrowolne”
Dalsza część artykułu pod materiałem wideo
Co przez rok robiły polskie instytucje? „UTK bada wysokość trawy”
Jak dowiedział się Onet, o podejrzeniach w sprawie przyczyn usterek Newagu, od miesięcy wiedział za to prezes Urzędu Transportu Kolejowego. Instytucja ta sama przyznała, że miała taką wiedzę i ją analizowała, ale ostatecznie prezes UTK uznał, że dalsze kroki zależą od ministra infrastruktury. Po tym, jak 5 grudnia opublikowaliśmy nasz pierwszy tekst o pociągach Newagu, wiele osób zastanawiało się jak to możliwe, że polska instytucja, której głównym zadaniem jest dbanie o bezpieczeństwo pasażerów, po prostu „schowała głowę w piasek”.
— Laików może to dziwić — mówi w rozmowie z nami ekspert ds. kolejnictwa. — Nasza branża nauczyła się już jednak, że UTK to bardzo dziwna organizacja. Niemal zawsze, gdy pojawia się jakiś duży problem, a tak było w tym przypadku, to prezes UTK i jego pracownicy robią wszystko, by zrzucić z siebie odpowiedzialność i taką kwestią się nie zajmować. Zawsze słyszymy wówczas, że od tego jest ministerstwo infrastruktury czy prokuratura. Ale gdy w grę wchodzi jakaś niewielka rzecz, to UTK potrafi działać z całą stanowczością i skutecznością.
Nasz rozmówca podaje tu przykład, z którego co roku śmieje się cała branża. Otóż prezes UTK w środowisku kolejarzy często nazywany jest… ogrodnikiem. Urząd z uporem maniaka ma bowiem sprawdzać od późnej wiosny, czy trawa rosnąca na nasypach kolejowych nie jest zbyt długa.
— Jeśli gdzieś taką wysoką trawę znajdą, to uważają, że rośliny zasłaniają stojące przy torach słupki z informacją o kilometrze, a to ich zdaniem jest zagrożeniem tak ogromnym, że w ciągu kilku dni przychodzi decyzja o ograniczeniu prędkości na takim torze do maksymalnie 60 km na godz. I to nawet w sytuacji, gdy wcześniej można było na nim jeździć nawet 160 km na godz. — dodaje nasze źródło na kolei.
UOKiK teraz wraca do sprawy
O sprawie od wielu miesięcy wiedział również UOKiK. Już jesienią 2022 r. urząd analizował otrzymane zawiadomienie, ale wtedy nie wyciągał żadnych konsekwencji.
— Badaliśmy sprawę pod kątem naruszenia przepisów ustawy antymonopolowej — mówi Małgorzata Cieloch, rzeczniczka prasowa UOKiK. – Dostarczone informacje wskazywały na prywatny charakter sporu. Głównie tego, czy Newag miał prawo do aktualizacji oprogramowania bez akceptacji zamawiającego.
Jak dodaje rzeczniczka, wówczas po analizie zawiadomienia uznano, że sprawa ma charakter sporu cywilnego i indywidualnego, a także, że nie ma podstaw do podjęcia kroków przewidzianych w ustawie.
Teraz, gdy o sprawie zrobiło się głośno, UOKiK wraca do sprawy.
— Z obecnych doniesień medialnych widzimy, że przedstawione wówczas informacje mogą mieć dużo szerszy kontekst, także w wymiarze materiału dowodowego pozyskanego przez podmioty i instytucje trzecie, który rzuca nowe światło na charakter działań ze strony producenta taboru. Stąd Prezes UOKiK 7 grudnia wszczął postępowanie w tej sprawie. Sprawdzamy działalność spółki Newag, w szczególności sygnały o możliwym zachowaniu antykonkurencyjnym w zakresie napraw taboru kolejowego, z wykorzystaniem oprogramowania informatycznego — zapewnia rzeczniczka UOKiK.
Lewica zawiadamia UOKiK w sprawie awarii pociągów Impuls
Służby, w tym CBA, wiedziały o sprawie od kilku miesięcy
W ostatnich dniach Onet potwierdził jeszcze jeden fakt, o którym wcześniej słyszeliśmy jedynie nieoficjalnie. Ustaliliśmy, że sprawą zajmowało się CBA. Pytane przez nas wcześniej o swoje działania, nie chciało komentować sprawy. Wiemy jednak, że CBA wysyłało pisma do różnych podmiotów zajmujących się serwisowaniem pociągów wyprodukowanych przez Newag. Dopytywało o przyczyny nietypowych usterek. Ustaliliśmy, że CBA dostało potem odpowiedzi potwierdzające, że w różnych miejscach kraju dochodziło do niestandardowych awarii, a pojawiające się blokady były wynikiem najpewniej celowych ingerencji w oprogramowanie.
Co z tą wiedzą zrobiło CBA? Tego nie wiemy.
Wiadomo za to, że na początku października 2023 r. ABW zawiadomiła prokuraturę o zagadkowych awariach w pociągach Newagu. Sprawa trafiła na najniższy szczebel prokuratury w Nowym Sączu. Dopiero po naszych publikacjach i innych mediów, sprawę przeniesiono najpierw do Prokuratury Okręgowej w Nowym Sączu, a obecnie jest prowadzona przez Prokuraturę Regionalną w Krakowie. Ani służby, ani prokuratura nie odpowiadają teraz na proste pytania: co wynika z zawiadomienia oraz jaki jest kierunek śledztwa, które prowadzono rzekomo już od dwóch miesięcy. Nikt z tych instytucji nie chce oficjalnie powiedzieć, czy rację mają specjaliści od cyberbezpieczeństwa, zarzucając Newagowi wywoływanie celowych awarii w celu zarobienia na „przymusowych” naprawach, czy rację ma Newag, który zapewnia, że jest czysty, jak łza i to hakerzy ponoszą winę za ingerencję w oprogramowanie.
Śledztwo dopiero teraz, po ujawnieniu sprawy w mediach, ma nabrać rozpędu.
