Skrivnost okuženih USB ključkov: uvozil jih je dobavitelj zdravstva iz kartelne afere

V petek je odmevalo razkritje, da so v javni upravi naročili večje število USB ključkov, okuženih z zlonamernim črvom, ki bi lahko olajšal kibernetski napad. Kot so poročali na 24ur, je šlo za nove USB ključke s Kitajske, pri katerih je protivirusni program zaznal potencialno okužbo s škodljivo programsko kodo. Po prijavi urada za informacijsko varnost zadevo obravnava tudi policija. 

Uradne informacije o dogajanju so skope. Po nekaterih informacijah naj bi bila okužena približno petina USB ključkov. Kot smo neuradno izvedeli, naj bi bilo na ključkih večje število kod neznanega izvora. Protivirusni programi naj bi jih zgolj zaznali, ne pa bili tudi sposobni uničiti. Tudi na vprašanje, katere institucije javne uprave ob računskem sodišču so te USB ključke že uporabljale, odgovora še ni.

Za zdaj je znano le, da je okužene USB ključke na Kitajskem nabavilo podjetje Extra Lux. Gre za dolgoletnega dobavitelja slovenskega zdravstva, ki ga je varuh konkurence dobro desetletje nazaj preiskoval zaradi suma sodelovanja v domnevnem kartelu treh prodajalcev pisarniškega materiala. Šlo je za afero, zaradi katere je oktobra 2014 odstopil takratni minister za gospodarstvo Jožef Petrovič, pred tem zaposlen v družbi DZS, ki se je prav tako znašla v postopku Agencije za varstvo konkurence (AVK).

Kje je podjetje Extra Lux nabavilo ključke? Kje so se okužili? In kdo so lastniki podjetja?

USB ključke dobavljajo javni upravi, zdravstvu, železnicam ... 

Iz podjetja Extra Lux se v petek na novinarska vprašanja niso odzivali zaradi službene odsotnosti. Toda iz javno dostopnih virov je razvidno, da je podjetje že več let pogodbeni partner ministrstva za javno upravo, ki ga v sedanji vladi vodi Franc Props. 

Avgusta 2024 ga je ministrstvo med tremi ponudniki izbralo za dobavitelja pisarniškega materiala in galanterije. Pri največjem od šestih sklopov je bilo podjetje Extra Lux s ponudbo, vredno 1,8 milijona evrov, za skoraj enkrat cenejše od obeh konkurentov: podjetij Birotrgovina in MK Trgovina. S podjetjem so tako na ministrstvu sklenili krovno pogodbo. 

Toda pozor: sodeč po razpisni dokumentaciji ta krovna pogodba ne zajema naročanja USB ključkov. To so nam potrdili tudi na ministrstvu. "USB ključki so bili dodani med izvajanjem predhodne krovne pogodbe (veljavne med letoma 2021 in 2024, op. a.) na podlagi določila, da se v času trajanja krovne pogodbe na predlog naročnikov, ki so vključeni v skupno naročilo, v določenem obsegu lahko dodajo dodatni artikli pisarniškega materiala in galanterije," so sporočili z ministrstva. 

"Naročanje konkretnih artiklov je v domeni posameznih naročnikov, ki na podlagi krovne pogodbe podpišejo neposredne pogodbe in potem izvajajo posamezna naročila pisarniškega materiala in galanterije. Vsak izmed vključenih naročnikov na podlagi krovne pogodbe podpiše svojo neposredno pogodbo," so dodali na ministrstvu. Računsko sodišče je tako okužene USB ključke kupilo neposredno od podjetja Extra Lux.

Kdo vse je kupoval pisarniški material od podjetja Extra Lux:

So na Kitajskem vedeli, komu vse Extra Lux dobavlja ključke?

V zadnjem času je podjetje v Slovenijo mimo krovne pogodbe z javno upravo dobavilo še vsaj dve večji količini USB ključkov. 

Aprila je z Združenjem zdravstvenih zavodov, ki zastopa bolnišnice in zdravstvene domove, podpisalo skoraj štiri milijone evrov vredno pogodbe. Ta med drugim predvideva tudi dobavo 7.300 USB ključkov. Lani so se za nakup 1.700 ključkov od podjetja Extra Lux odločili tudi na Slovenskih železnicah (SŽ). Za razliko od razpisa za bolnišnice so na železnicah v razpisu navedli, da želijo USB ključke znamke Kingston, ki jih izdelujejo na Irskem oziroma na Tajvanu. 

Toda v zgodbi je posebej pomemben naslednji podatek: podjetje Extra Lux je bilo v zadnjih desetih letih dobavitelj nekaterih javnih naročnikov s področja kritične infrastrukture. Za več kot devet milijonov evrov poslov je opravilo z UKC Ljubljana, največjo bolnišnico v državi, za približno pol manj pa z ministrstvom za notranje zadeve (4,2 milijona evrov). Med večjimi naročniki podjetja Extra Lux so bili v tem času tudi UKC Maribor, finančna uprava (Furs), Zavod za zdravstveno zavarovanje (ZZZS), Okrožno sodišče v Ljubljani ...

Kdo so lastniki podjetja Extra Lux

Ob predpostavki, da so bili ti USB ključki okuženi že ob izdelavi na Kitajskem, bi to lahko okrepilo sume, da je šlo za vnaprej organizirano obveščevalno akcijo. Cilj: infiltracija kritične infrastrukture v Sloveniji z zlonamerno programsko opremo. Kot je znano, je bilo slovensko zunanje ministrstvo že leta 2023 tarča kitajskih hekerjev, ki so ga prav tako napadli s pomočjo tako imenovanega programskega črva. 

Med lastniki Extra Luxa tudi nekdanji Jankovićev svetnik

Podjetje Extra Lux, ki letno ustvarja več kot pol milijona evrov čistega denarnega toka, ima sicer dva lastnika. Polovični delež, ki mu omogoča glavno besedo v podjetju, je v lasti direktorja Marjana Dermastije. Širši javnosti je verjetno najbolj znan kot lastnik luksuzne vile s 461 kvadratnih metrov neto tlorisne površine v okolici Ljubljane. 

V lastništvo podjetja Extra Lux je Dermastija uradno vstopil leta 2008. Pred tem je bilo to v rokah podjetij iz Liechtensteina in Cipra. Dermastija ima v lasti še podjetje BTN, ki je leta 2015 iz stečajne mase propadlega SCT za skoraj šest milijonov evrov odkupilo betonarno v Črnučah. Že leto dni pozneje jo je Dermastija prodal poslovnežu Milovanu Gazibariću.

41-odstotni delež podjetja Extra Lux pa je uradno v rokah srbske družbe BVS. Njen lastnik prihaja iz Slovenije. Gre za podjetje Lobium, ki ga obvladuje skupina nekdanjih lastnikov Sanolaborja. Med njimi je mogoče najti tudi njegovega dolgoletnega direktorja Marka Bokala, nekdanjega mestnega svetnika Liste Zorana Jankovića v Ljubljani, in Andreja Močana, ki je bil skupaj s podjetjem Electa – to je v lasti članov družine Janković - pred leti solastnik diagnostičnega centra Medilab.

Od leta 2018 je Sanolabor v lasti Salusa, Bokal, Močan in poslovni partnerji pa so ostali lastniki podjetja Lobium, ki so ga oddelili od Sanolaborja, skupaj z njim pa tudi večino njegovih nepremičnin. V Srbiji ima Lobium v lasti 13 hektarjev kmetijskih zemljišč, vrednih 1,5 milijona evrov.

Obvladujejo tudi podjetje Vitadom, ki upravlja domova za starejše na Črnem Vrhu in v Škofljici. V času prejšnje vlade je dobilo tudi koncesijo za gradnjo doma za starejše v občini Ig, a se z njo zapleta zaradi pomanjkanja kadra na trgu.