2022-02-14 11 val.: Papildyta priešpaskutine skiltimi, „Ex prompto“ („Vero Cafe“) komentaru: įmonė laukia paaiškinimų iš rangovo ir remia Ukrainą.
Internetinė svetainė full-disclosure.eu pirmoji sausio 26 dieną paviešino informaciją, esą „VeroCafe“ programėlė „Android“ telefonams yra sukurta naudojant „DeliveryMobile.ru“ platformą ir galimai turi kelis pažeidžiamumus. Svetainėje rašoma, esą paslaugas įmonei teikia Rusijos Federacijos įmonė, kurią „Google Play“ identifikuoja kaip „DELIVERYmobile, LLC“. Šia informacija pradėta dalintis feisbuke ir kituose socialiniuose tinkluose.
Nacionalinis kibernetinio saugumo centras (NKSC) LOGIN.LT patvirtino, kad „Vero Cafe“ programėlė kreipiasi per rusišką domeną, tačiau duomenys saugomi ne Rusijoje, o Lenkijoje. NKSC įspėja, kad atvejis nėra išskirtinis ir pažeidžiamų programėlių yra daugiau, mat Kinijos bei Rusijos tiekėjai kelia savo infrastruktūrą į Europą, tik nebūtinai čia yra galutinė duomenų stotelė.
Dabar aiškėja, kad programėlės tėra ledkalnio viršūnė, o problema gali būti gerokai gilesnė.
Ukrainiečiai pavojaus varpais savo šalyje skambina dėl to, kad restoranuose masiškai naudojama rusiška programinė įranga, o per karą ji maskuojama naujais pavadinimais. Tą pačią įrangą naudoja daug Lietuvos restoranų, kavinių ar kitų įstaigų. Į tokį atsinaujinimą galimai investuotos netgi ES paramos lėšos.
„Syrve“ (anksčiau ir „iiko“) partneriai Lietuvoje, UAB „Straujos prekybos sistemos“ patikina, kad jokių sąsajų su Rusija nėra, duomenys saugomi tik Europoje, o kodėl mobilioji programėlė vedė į Rusiją – aiškinamasi su Turkijos rangovu.
Tačiau „Syrve“ po „skyrybų“ įsikūrusi Jerevane, Armėnijoje, o jos įkūrėjas yra Romanas Avramovas – tas pats Maskvos verslininkas, kuris anksčiau įkūrė ir „iiko“, rodo dokumentai, kuriuos padėjo gauti tiriamosios žurnalistikos centras „Siena“.
Nuo programėlės iki POS sistemų
Internete paviešinta informacija, kad „Vero Cafe“ programėlė galimai kreipiasi į serverį Rusijoje. Dar sausio 27 dieną LOGIN.LT kreipėsi į įmonę dėl komentaro, tačiau atsakymo negavome. Programėlė dabar atnaujinta ir kūrėjas pakeistas.
„Google Play“ programėlių parduotuvės duomenys rodė, kad iki pasikeitimo „Vero Cafe“ programėlės kūrėjas buvo „DELIVERYmobile, LLC“. Ši rusiška platforma yra sukūrusi šimtus programėlių maisto pristatymo įmonėms, dalis iš jų veikia ir Lietuvoje. Pavyzdžiui, „DELIVERYmobile, LLC“ kaip kūrėjas nurodomas programėlėms „Medžiotojų užeiga E-restoranas“, „Formosa Bubble tea“, „Talutti“, „Pilies sodas“, „Sofijos rezidencija“ ir kitoms, rodo „Google Play“ duomenys.
„Nacionalinis kibernetinio saugumo centras nėra atlikęs „Vero Cafe“ programėlės kibernetinio saugumo vertinimo, tačiau panagrinėjus jos tinklo sąsajas galime patvirtinti viešai paskelbtą informaciją, kad ji kreipiasi į rusišką domeną servereu.deliverymobile.ru, kuris veda į serverį Lenkijoje.
Šis atvejis nėra išskirtinis ir jau kurį laiką stebime tendenciją, kad įvairūs su Rusija ir Kinija siejami tiekėjai savo paslaugoms naudoja ES šalyse esančių duomenų centrų infrastruktūrą ir kiekvienu atveju reikalingi papildomi tyrimai, siekiant atskleisti, ar infrastruktūra, kurioje galioja ES BDAR taisyklės, yra galutinė duomenų stotelė, ar ne“, – rašoma LOGIN.LT pateiktame NKSC komentare.
Ir restoranų savininkai, ir diegėjai pripažįsta, kad dalis Lietuvos restoranų anksčiau diegė „iiko“ sistemas, o dabar jas naudoja kitu pavadinimu „Syrve“, be sąsajų su Rusija, bent jau taip tikina diegėjai.
Restorano vadovą šokiravo, įmonė turi raštą, kad ne rusiška
„Talutti“ restoranų vadovas Algirdas Talutis buvo itin nustebęs, išgirdęs, kad jo restorano programėlės kūrėjas yra „DeliveryMobile“ – jam tai nieko nesakė. A. Talutis abejojo, ar tai ne klaida, mat įmonė internetu naudojasi tik „Wolt“ ir „Bolt“ platformomis.
„Tai š... visiškai. Mes tik už Ukrainą. Jūs mane nustebinote. Man sakė, kad tik įdės meniu, ir nežinojau, ant kokios platformos. Iškart išsiaiškinsime. <...> mes tikrai nesame rusiški, net nežinojau, kad taip yra – jei kažkas ne taip, iškart priimsime atitinkamus sprendimus“, – patikino vadovas.
Jis patvirtino, kad įmonė gavusi ES paramą, kuri naudota vidinei sistemai – programoms, planšetėms darbuotojams, kad jie galėtų greičiau aptarnauti klientus, taip pat kitiems komponentams, ir tai nesusiję su programėle.
Kita restoranų tinklo atstovė, vardu Asta, patvirtino, kad įmonė anksčiau diegė „iiko“ restoranų verslo procesų programą, kurią Lietuvoje tiekė įmonė „Straujos prekybos sistemos“ (SPS), šiuo metu siūlanti „Syrve“ analogą.
„Mes turime tiekėją „Straujos prekyba“, kuri anksčiau prekiavo „iiko“ programa. Tai („iiko“) anksčiau buvo britų ir rusų projektas, tačiau „iiko“ atsiskyrė nuo rusų, ir dabar ji vadinasi kitaip. Jie atsiskyrė dar vasarą, mes esame gavę oficialų raštą. O programėlė pradėta kurti rugpjūtį, kai jau buvo visiškai atsiskyrę. <...> mes dar jos net nepaleidę, ji kuriama vienam iš mūsų restoranų, ir programėlė dar nefunkcionuoja“, – paaiškino restoranų tinklo atstovė.
Ji patikino, kad informacija dėl programėlės tikrinama, kreiptasi į tiekėją, kad jokių rizikos veiksnių neliktų.
Kaip programinė įranga virsta iš rusiškos į tarptautinę: vis tiek kyšo Rusijos ausys
Nuo pernai gegužės 26 dienos Rusijos restoranų platformos tiekėjos „iiko“ interneto svetainėje skelbiama, kad tarptautinis verslas yra parduotas, ir sujungtas į naują nepriklausomą įmonę „Syrve“, ši perėmė teises į produktus, praktikas, personalą, klientus ir šio verslo esą niekaip nebekontroliuoja Rusijos „iiko“. „Syrve“ persikėlė klientus ir migravo sistemas, aptarnauja 4700 klientų iš daugiau nei 40 valstybių, rašoma svetainėje.
„Syrve“ interneto svetainėje, skiltyje „Kontaktai“ nurodoma įmonė „Resto Systems LLC“, kuri atsakinga už plėtrą. Ši įmonė registruota Jerevane, Armėnijoje.
Jungtinėje Karalystėje dar likusi registruota įmonė „IIKO Limited“, jos vadovas nuo pernai spalio yra tas pats rusas R. Avramovas. Tuo pačiu adresu registruota ir nauja įmonė „Syrve Limited“ – jai vadovauja latvis Kirils Hudjakovs, kuris yra ir vienintelis akcininkas, rašoma Jungtinės Karalystės įmonių registre.
Ukrainoje kilo pasipiktinimo
Anksčiau pasipiktinimo dėl rusų programinės įrangos restoranuose buvo kilę Ukrainoje – čia vietos forbes.ua rašė, kad Rusijoje sukurtos platformos apsimetinėja vakarietiškomis ir skirtingais logotipais siūlo paslaugas Ukrainos įmonėms.
„Pavyzdžiui, yra didelių restoranų Ukrainoje, kurie pasirinko keisti Rusijos programinę įrangą į tarptautinę „Syrve“, o tuomet paaiškėjo, kad verslininkai iš Rusijos „iiko“ įkūrė „Syrve“. Pati „iiko“ įkurta rusų 2015 metais, tuomet „Sberbank“ įgijo kontrolinį akcijų paketą. Dar daugiau, „iiko“ grupė kuria „Syrves“ įmonę, kuri įsiteigta Armėnijoje“, – rašė forbes.ua portale apžvalgininkas Dmitry Karpenko. Jis nurodė, kad ta Ukrainoje ta pati kompanija buvo pasivadinusi dar kitu pavadinimu, „Delta Azov“.
SPS vadovas: su Rusija – nieko bendro
„Straujos prekybos sistemos“ (SPS) anksčiau klientams siūlydavo „iiko“ sistemas, o šiuo metu vietoje jų siūlomos minėtos naujos įmonės „Syrve“ sistemos.
SPS vadovas Dainius Balčiūnas patvirtino, kad aptarnauja publikacijoje minėtus restoranus, tačiau patikina, kad su Rusija nėra nei jokių ryšių, nei mokėjimų, jokie duomenys negali būti ir nėra saugomi Rusijoje. O dėl mobiliųjų programėlių – situaciją aiškinasi.
„Ne, 100 proc., niekada nebuvo nei kažkokie serveriai Rusijoje. Net ir tada, kai Lietuvoje veikė „iiko“, nebuvo serverių Rusijoje, šimtu procentų. Pagal Latvijos įstatymus yra netgi taip, kad Latvijoje turi būti laikomi visi duomenys. Lietuvoje 100 proc. visi klientai pas mus dirba su serveriais Vokietijoje. Tai čia tikrai jokių skeletų negali būti likę. Tie produktai išsiskyrė, nieko bendro tarpusavyje neturi, kaip suprantu, nei programavimo, nei serviso, jokia prasme“, – tikino D. Balčiūnas.
„Dėl programėlių mes bendradarbiavome su Turkijos programavimo įmone. Kodėl jie įkėlė į deliverymobile.ru, aš pabandysiu išsiaiškinti. Bet tikrai, žiūriu, ir mokėjimai vyko į Turkiją, ir sąskaitos faktūros yra Turkijos įmonės. Kokie jų ryšiai su deliverymobile.ru – manau, kad jokių. Bet kodėl taip yra, nežinau, išsiaiškinsiu ir tikrai griežtai pasakysiu. Bet pirmiausia reikia išsiaiškinti, kodėl jie naudoja tą deliverymobile.ru vietą. Mes su Rusija tikrai neprekiaujame, į Rusiją jokių pinigų nepervedame, ir jokių sutarčių su Rusija neturime“, – sako D. Balčiūnas.
Jis taip pat paaiškino, kad „Syrve“ programą šiuo metu perka iš Italijos įmonės „Syrve S.r.l.“.
Login.lt patikrino Italijos registro duomenis, jie atskleidė, kad šioje pernai įsteigtoje įmonėje rugsėjo 30 dieną dirbo vienas darbuotojas, tai vadovas ir savininkas Brunoldi Pietro, o įstatinis kapitalas buvo 10 tūkst. eurų.
Sistemoms byrėjo ES parama
Minėta UAB „Ex prompto“ („Vero Cafe“) įmonė yra gavusi ES paramą programėlės sukūrimui – išmokėta suma sudaro 23,8 tūkst. eurų, prašyta finansavimo suma sudarė 47,6 tūkst. eurų, o visa projekto vertė įvertinta 63,5 tūkst. eurų rodo portalo esinvesticijos.lt duomenys. Sutartis dėl ES paramos pasirašyta pernai vasario 22 dieną, o projekto pabaiga numatyta šiemet vasario 21 d.
„Projektas „E-kava savitarnos sprendimo sukūrimas ir įdiegimas“ skirtas sukurti ir įdiegti klientų savitarnos sprendimą – mobiliąją aplikaciją, kuri bus integruota su įmonės buhalterinės apskaitos programa. Kad ši integracija būtų pilnavertė, įmonės buhalterinę programą projekto įgyvendinimo metu numatoma praplėsti funkcionalumu, pritaikytu pirkimui iš mobiliųjų įrenginių. Įdiegtas savitarnos sprendimas sudarys galimybes klientams saugiai ir greitai užsakyti norimą patiekalą ir patogiai už jį atsiskaityti nekontaktuojant su įmonės darbuotoju“, – nurodoma paraiškoje.
Dalis kitų „DeliveryMobile“ platformos programėles naudojusių įmonės taipogi yra gavusi paramos.
„Siekiant vykdyti pelningą veiklą Covid-19 paveiktoje rinkoje, taip pat didinti teikiamų paslaugų patrauklumą, įmonės konkurencingumą bei produktyvumą, projekto apimtyje bus sukurta ir įmonės restorane „Talutti Fresh and Tasty“ įdiegta mobilioji aplikacija – el. parduotuvė. Naujos mobiliosios aplikacijos dėka klientai galės greitai ir patogiai, nuotoliniu būdu išsirinkti norimus restorano patiekalus bei jų pristatymo būdą, taip pat atsiskaityti už įsigytas prekes. Projekto rezultatai leis restoranui paslaugas klientams teikti daug efektyviau, geriau atliepiant šiuolaikinio kliento poreikius ir lūkesčius“, – rašoma įmonės interneto svetainėje.
Projekto vertė: 65,92 tūkst. Eur (iš jų paramos lėšų – 49,44 tūkst. Eur).
„Pilies sodo“ svetainėje viešinamas ES projektas už 65,92 tūkst. eurų, iš jų ES finansavimas sudaro 49,44 tūkst. eurų, tačiau čia programėlė nėra minima: „Nuo 2022 m. vasario mėnesio UAB „AES GROUP“ pradėjo įgyvendinti projektą „UAB „AES GROUP“ e. komercijos modelio diegimas“ <...> Projekto tikslas – informacinių technologijų verslo sandoriams valdyti elektroniniu būdu diegimas, siekiant padidinti pajamų augimą. Projekto metu planuojama įdiegti klientų savitarnos programinę įrangą, kuri palengvintų užsakymų pateikimą, padidintų įmonės teikiamų paslaugų prieinamumą, patrauklumą ir greitį“.
Parama įmonėms skirta pagal ES prioritetą „Veiksmų, skirtų COVID-19 krizei įveikti, skatinimas ir pasirengimas ekonomikos atgaivinimui“, priemonė „E. Komercijos modelis COVID-19“, pagal kurią numatyta iš viso mažas ir vidutines įmones paremti 45,59 mln. eurų suma. 1193 sutartys pasirašytos, pagal jas skirtas finansavimas siekia iš viso 47 mln. eurų.
Papildyta: „Vero Cafe“ vadovė tebelaukia paaiškinimų iš rangovo: remiame Ukrainą
„Ex promto“ („Vero Cafe“) direktorė Laima Vėželienė pasirodžius publikacijai pasidalino komentaru, kuriame patikina, kad kreipėsi į SPS paaiškinimų ir iki šiol jų tebelaukia.
„Esu užprašiusi iš šios įmonės raštiškų patvirtinimų jų teiginiams, kad jokių sąsajų su Rusija neturi, bet dar negavau iki šiandienos, nors buvo žadėta. <...> Su SPS pradėjome bendradarbiauti nuo 2018 metų. Prieš tai turėta kasų sistema„ UCS Baltic“ taip pat buvo rusiškos kilmės. Tuo metu Lietuvos rinkoje pagrindinės viešojo maitinimo kasos sistemos abi buvo rusiškos kilmės. Bandyta kreiptis į „Revel“, bet jie tuo metu jau iš Lietuvos rinkos buvo pasitraukę“, – ankstesnes aplinkybės paaiškina vadovė.
Ji patvirtino, kad pirmoji įmonės programėlė buvo vienas iš turimos kasos sistemų modulis, tačiau pati „Ex prompto“ su „DeliveryMobile.ru“ jokių kontaktų, sutarčių ar pirkimo-pardavimo sandorių neturėjo, neturi ir neplanuoja turėti.
„Tačiau nesame įmonė, kuri turi įgaliojimų ar galimybių tirti savo partnerių veiklos ir sistemų kilmės. Savo partnerių teiginiais tikėjome. Jūsų straipsnyje teiginys, kad programėlė yra atnaujinta, tikrai teisingas. Taip pat teisinga, kad turime pasirašytą paramos sutartį dėl naujos programėlės kūrimo dar 2022m. pradžioje. Naujai programėlė sukurta su partneriais UAB „Mobili linija“ ir yra visiškai UAB „Ex prompto“ nuosavybė“, – teigia L. Vėželienė.
Ji patikino sieksianti gauti konsultacijų apie turimų sistemų saugumą, kad jos pakankamai apsaugotų klientų duomenis ir neliktų jokių spragų.
„Galiu tik patvirtinti, kad „Ex prompto“ („Vero Cafe“) yra atsakinga įmonė ir visi turimi ar turėti partneriai yra Lietuvos arba Vakarų Europos įmonės. Niekada neturėjome, neturime ir neplanuojame turėti sandorių ar partnerių iš Rusijos. Patys remiame ir palaikome Ukrainą visomis galimomis priemonėmis. Tik dar kartą pasikartosiu, kad dėl savo partnerių, su kuriais bendradarbiaujame, negalime atsakyti. Tikrai labai gaila jei Jūsų straipsnyje paviešinta informacija yra teisinga. Diegiant SYRVE buvome užtikrinti, kad tai pilnai Europietška sistema. Laukiame komentarų šiuo atveju iš SPS“, – pažymėjo vadovė.
LOGIN.LT platesnių išaiškinimų po publikacijos kreipėsi į NKSC, kadangi gavome daugiau liudijimų ir dėl kitų viešbučių bei restoranų naudojamų sistemų.
Programėlės kaina – 455 eurai?
Serveryje „servereu.deliverymobile.ru“ yra pateikiamas sutarties dėl mobiliosios programėlės kūrimo pavyzdys rusų kalba. Sutartis skirta programėlių norinčioms įmonėms, joje jau nurodoma, kad paslaugos teikėjas yra individuali verslininkė iš Ufos, Baškirijos (Rusija).
„Vykdytojas pagal šią Sutartį įsipareigoja „DeliveryMobile“ aplikacijos pagrindu sukurti Mobiliąją aplikaciją ir įkelti ją į Programėlių parduotuvę (toliau – Paslaugos), o Užsakovas įsipareigoja sumokėti už Vykdytojo paslaugas tokia suma, būdu ir terminais, nustatytais Sutartimi.
<...>
Kibernetinio saugumo ekspertas: baugu
„Cybernews“ informacinio saugumo tyrėjas Vincentas Baubonis kelia klausimą, kodėl, atsižvelgiant į esamą situaciją, vis dar naudojami rusiški serveriai.
„Iš full-disclosure.eu pateiktos informacijos matoma, jog „Vero Cafe“ mobilioji aplikacija, duomenų tvarkymo operacijas atlikusi per serverį Lenkijoje, naudojantis rusišku domeno vardu, turėjo itin rimtą saugumo spragą, kuri leido prieiti prie duomenų, susijusių su el. pašto adresais, naudojamais programėlės komunikacijos procesams užtikrinti.
Baugu yra tai, jog programėlės valdytojai neatsiliepė į tyrėjų pranešimą ir, galimai, nesusitvarkė saugumo spragos, kuri leistų piktavaliams asmenims padaryti nemažai žalos programėlės vartotojams bei pačios įmonės reputacijai“, – nuogąstauja V. Baubonis.
O NKSC vartotojams pataria atidžiau rinktis, ką atsisiunčia.
„Primename, kad įsidiegdami naujas programėles, asmenys turėtų perskaityti jos Privatumo politiką ir susipažinti su jų duomenų tolimesniu tvarkymu, saugojimu ir panaudojimu. Šiuo konkrečiu atveju, programėlės Privatumo politikoje nėra nurodyta, ar gauti duomenys bus tvarkomi laikantis ES BDAR taisyklių, be to, sutikdamas naudotis šia programėle asmuo taip pat sutinka, kad jo duomenys gali būti perduodami tvarkyti kitiems tretiesiems asmenims, kurie administruoja šią programėlę“, – pažymi NKSC.