🧩🧡🧡🧡🧡🧡🧡

Обладнання Ajax залишається доступним на російському ринку; на території рф працює велика встановлена база хабів, які продовжують взаємодіяти з хмарою; питання про ступінь контролю Ajax над цим сегментом залишається відкритим.

Хаби тримають постійне з’єднання з Ajax Cloud. Хмара знає:
✔️серійники, геолокацію та конфігурації хабів;
✔️журнали подій (постановки/зняття з охорони, рух, тривоги — фактично графік присутності людей на об’єкті);
✔️акаунти власників, монтажників, охоронних компаній із телефонами та email;
✔️ фото з MotionCam і відео з IP-камер.

🌐 Усе це лежить на AWS в Ірландії, Німеччині та Франції, під управлінням кіпрської Ajax Systems CH, шифрування AES-256 at rest і AES-128 у каналі «хаб–хмара» з сертифікацією NIST. Ані російська, ні американська спецслужба не має прямого доступу до бази Ajax Cloud — вона в юрисдикції ЄС під GDPR.

☑️ Сценарії загроз

🔸 Російські користувачі Ajax — ризик існує за замовчуванням.. Не через Ajax, а через СОРМ і «закон Ярової». Провайдери зобов’язані давати ФСБ прямий доступ до трафіку без відома оператора, зберігання метаданих — 3 роки. Навіть при AES-128 всередині каналу видно IP хаба, IP AWS-регіону, обсяг і час сесій. Цього вистачає, щоб побудувати графік життя об’єкта. SMS- і email-сповіщення через Twilio/SendGrid теж проходять через російську «останню милю» і осідають у операторів.

🔸 Компрометація монтажного каналу. У монтажних фірм і охоронних компаній у PRO Desktop — розширені права: події, конфігурація хабів, додавання користувачів. Один обліковий запис = огляд сотень-тисяч об’єктів. У РФ такі фірми юридично зобов’язані розкривати дані за запитом ФСБ. Це класика supply-chain surveillance — як у кейсах Hikvision і Huawei.

🔸 «Російський слід» у базі українських клієнтів — це гіпотеза, а не факт. У рф немає легального механізму запросити дані українських клієнтів у Ajax чи AWS Ireland. Але якщо паралельний імпорт у РФ іде через юрособи Ajax в ОАЕ та Казахстані, а підтримка — через Telegram-канал, виникає законне питання: як саме всередині групи розділений доступ співробітників до клієнтських сегментів різних юрисдикцій?

🔸 Американський периметр. Ajax у США з 2022, дистриб’ютори SS&Si, SES, DAP. Ризик тут не «стеження», а санкційний: якщо історія з ОАЕ та Казахстаном підтвердиться документально, американські дистриб’ютори отримують вторинний compliance-ризик за правилом facilitation аж до уваги OFAC. Плюс — CFIUS усе уважніше ставиться до охоронних IoT-виробників із ланцюгами в юрисдикціях підвищеного ризику.

Кому і що реально загрожує

✔️Російський користувач Ajax: високий ризик, але не від Ajax, а від російської правової рамки.
✔️ Монтажник у РФ: високий ризик компрометації облікового запису = витік клієнтської бази.
✔️ Український користувач: при штатній архітектурі — низький; відкрите питання — розділення доступу всередині групи.
✔️Українські чиновники та об’єкти критичної інфраструктури з Ajax: середній OPSEC-ризик — не техніка, а концентрація даних про режим об’єкта в одній комерційній системі.
✔️Американський користувач: сьогодні — низький; у перспективі — санкційний, якщо історія розвинеться.
✔️Американські дистриб’ютори: compliance-ризик, репутаційний ризик.

⚙️ Питання, на які Ajax Systems і НАБУ зобов’язані відповісти

✔️ Чи є всередині групи Ajax технічне розділення доступу співробітників між клієнтськими сегментами Україна / РФ / ЄС / США?
✔️Через яку юрособу обробляються звернення російських клієнтів, чиє обладнання продовжує працювати з Ajax Cloud?
✔️Що конкретно означає «блокування російських IP» — реєстрація, оновлення чи весь трафік хаба? Чи є незалежна верифікація?
✔️Чи проводився незалежний аудит firmware хабів на предмет недокументованих функцій, ініційованих за геолокацією чи IP?
✔️Чи повідомляли американських дистриб’юторів SS&Si, SES, DAP про розслідування паралельного імпорту Ajax у РФ?

💬 ABleaks_bot
💕 Долучитись