חיילים בצבא נורבגיה נדהמו לגלות כי מכוניות שכורות מתוצרת סין, שסופקו להם במסגרת אימון המדמה מלחמה להגנה על נמל התעופה של אוסלו, הקליטו ותיעדו ללא ידיעתם מידע ביטחוני רגיש ביותר.
לפי פרסום באתר הכלכלי הנורבגי Dagens Næringsliv (DN), תועדו בצילומים חיילים המזינים קודי גישה בשערי בסיסים, נתיבי סיור, נקודות כינוס ומשך שהותם במתקנים שונים. למרות גילוי המחדל והסכנה החמורה לזליגת המידע לגורמים זרים, מחסור חמור בכלי רכב חלופיים אילץ את היחידה להמשיך להשתמש במכוניות עד לסיום התרגיל.
התקרית החריגה מצטרפת לחשש גובר במערב מריגול באמצעות "מכוניות חכמות", ומזכירה את ההנחיות וההגבלות המחמירות שכבר נחשפו בוואלה, שבמסגרתן אסר צה"ל על כניסת מכוניות מתוצרת סין לבסיסים מסווגים, והחליף דגמי צ'רי טיגו 8 שחכר לקצינים בעלי משפחות גדולות במיצובישי אאוטלנדר יפניים.
לפי הדיווח, כלי הרכב הושכרו באמצעות סוכנות "הרץ" המקומית (First Rent a Car Norway), הנמצאת בבעלות חברת וולוו - שבעצמה מוחזקת בידי תאגיד הרכב הסיני ג'ילי (Geely). לפחות שניים מהרכבים זוהו כמכוניות דיפאל S07 (מותג הרכב החשמלי של תאגיד צ'אנג-אן), ואחרים היו מדגמי וולוו EX30 המיוצרים גם הם בסין. החיילים גילו את דבר ההקלטות במקרה, תוך כדי בדיקה שגרתית בהגדרות מערכת המולטימדיה של הרכב, ונחרדו לגלות מאגר סרטונים עשיר שכלל לא ידעו על קיומו.
המצלמות המובנות ברכבים תיעדו נתוני מודיעין יקרי ערך: שעות ונקודות איסוף, משך שהיית הכוחות במתקנים שונים, נתיבי תנועה ומסלולי סיור. חמור מכך, המצלמות קלטו חיילים המזינים קודי אבטחה לצד שימוש בכרטיסים מגנטיים בשערי כניסה למתקנים צבאיים סגורים. "במקרים מסוימים אנו משתמשים בכרטיסי מפתח ובקודים כדי לעבור בשערים, וזה נשמר בהקלטות הווידאו", סיפר סגן פרדריק בלנק, שהשתתף בתרגיל.
הקצין התריע כי הצילומים, לצד החשש ממיקרופונים פעילים בתא הנוסעים, מעניקים לגורם חיצוני תמונת מצב מדויקת של מחסני אספקה, היערכות טקטית ונתיבי גישה.
בסיום התרגיל מחקו החיילים את הסרטונים באופן ידני, אך בצבא הודו כי אין לדעת האם הנתונים שודרו לשרתים חיצוניים בענן או נותרו שמורים במערכות אחרות.
הפרשה ממחישה את האיום הגלובלי סביב מכוניות חכמות מתוצרת סין, העמוסות בחיישנים, מצלמות ומערכות תקשורת מקוונות.
מצבא נורבגיה נמסר ל-DN: "הצבא מודע לסיכונים הכרוכים בכלי רכב ובציוד אלקטרוני, ומפעיל הגנות פיזיות ואלקטרוניות נגד איסוף מידע רגיש". לדברי הצבא, "איסור גורף על כלי רכב ממדינות מסוימות אינו עומד על הפרק כעת, שכן איסור כזה יספק יתרונות ביטחוניים מוגבלים בהשוואה לחסרונות המעשיים עבור הכוחות המזוינים, העובדים והספקים". הצבא סירב להתייחס לתרגיל הספציפי.
מוולוו מכוניות נמסר: "החברה דוחה בתוקף את הטענה לפיה בעלותה של ג'ילי מהווה סיכון ביטחוני. החברה אינה משתפת נתוני משתמשים עם תאגיד האם הסיני ללא בסיס משפטי ברור ותאימות מלאה לדיני הגנת המידע".
מזכיינית הרץ בנורבגיה (First Rent a Car Norway) ומקבוצת ג'ילי נמסר: "החברה פועלת בהתאם לחוקי הגנת הפרטיות הנורבגיים והאירופיים המחמירים ביותר (GDPR), וצי הרכב מושכר ומנוהל על פי כללי הרגולציה המקומית".
מותג הרכב דיפאל לא העביר תגובה רשמית לממצאי התחקיר בנורבגיה, אך בסביבת החברה מדגישים באופן עקבי כי מצלמות ה-DVR והמערכות ההיקפיות נועדו לצורכי בטיחות, תיעוד תאונות וסיוע בחניה, וכי הגישה להקלטות נשמרת ברמה המקומית של הרכב.