EU:n hallitusten käyttämän salasananhallintaohjelman juuret ovat Venäjällä

Organized Crime and Corruption Reporting Project (OCCRP), Le Monden, Investicon ja muiden eurooppalaisten tiedotusvälineiden yhteistutkimus on paljastanut, että Passwork, eurooppalaisena tuotteena markkinoitu ja EU:n virastojen käyttämä salasananhallintatyökalu, jakaa teknologisen alkuperänsä venäläisen vastineensa kanssa, jonka asiakkaisiin kuuluu pakotteiden alaisia ohjusvalmistajia ja Venäjän turvallisuuspalvelu FSB.

Yhteinen lähdekoodi ja hämärä välittäjä Arabiemiraateissa

Barcelonassa päämajaansa pitävä Passwork Europe SL markkinoi itseään "Made in EU 2017" -merkillä ja väittää noudattavansa täysin GDPR- ja NIS2-säädöksiä. Heinäkuun 17. päivänä julkaistu tutkimus kuitenkin paljasti, että ohjelmiston kehittivät alun perin venäläiset perustajat Ilya Garakh ja Andrey Pyankov Arkangelissa vuonna 2014.cybernews+1

Toimittajat havaitsivat, että eurooppalainen tuote jakaa yhteisen lähdekoodin venäläisen sisaryhtiönsä Passwork LLC:n kanssa, saa päivityksiä samassa aikataulussa ja sisältää lähes identtisen käyttöoppaan. Eurooppalaisen version päivitykset on toimitettu Arabiemiraattien Ras Al Khaimahin talousvyöhykkeelle heinäkuussa 2022 rekisteröidyn Passwork FZ-LLC -yrityksen kautta, jota hallinnoi yksi venäläisistä perustajista.brusselssignal

Venäläisyrityksellä on Venäjän puolustusministeriön alaisen teknisen ja viennin valvonnan liittovaltion viraston (FSTEC) sekä FSB:n sertifikaatit, joiden saaminen edellyttää yksityiskohtaista lähdekoodin tarkastusta. Sen ilmoitettuihin asiakkaisiin kuuluvat Gazprom, Transneft, Venäjän puolustusministeriö, FSB ja pakotteiden alaiset venäläiset ohjusvalmistajat.cybernews+1

Eurooppalaiset asiakkaat ja turvallisuusvaroitukset

Passworkin eurooppalaisiin asiakkaisiin kuuluu ainakin kolme Irlannin valtion virastoa, Dresdenin teknillinen yliopisto Saksassa, merkittävä hollantilainen aurinkopuisto-operaattori, ranskalainen satamaoperaattori sekä instituutioita, joita palvellaan Brysselin aluehallinnon belgialaisen IT-palveluntarjoajan kautta.irishtimes+2

Clingendael-instituutin turvallisuusyksikön johtaja Bart van den Berg varoitti, että pääsy lähdekoodiin voisi antaa Venäjän valtiolle "laajan näkymän ohjelmistoon ja sen haavoittuvuuksiin tai jopa mahdollisuuden lisätä siihen tarkoituksellisesti elementtejä". Hän lisäsi, että jos molemmat tuotteet jakavat saman lähdekoodin, "haavoittuvuudet voivat vaikuttaa molempiin versioihin".brusselssignal

Toimitusjohtaja kiistää yhteydet ja poistaa tekoälyohjeistuksen

Passwork Europe SL:n toimitusjohtaja ja ainoa osakkeenomistaja Alexander Muntyan kiisti espanjalaisen ja venäläisen yhtiön väliset suhteet. "Emme jaa asiakkaita, palvelimia, tukijärjestelmiä, asiakasrekistereitä, hallinnollisia pääsyjä tai asiakasympäristöjä", hän kertoi toimittajille. Hän mainitsi suojakeinona tuotteen "zero-knowledge-arkkitehtuurin", jossa salaus tapahtuu asiakaspäässä.brusselssignal

Muntyan myönsi "yhteisen lähdekoodin alkuperän" ja vahvisti hankkineensa ohjelmiston oikeudet Arabiemiraattien yhtiöltä vuonna 2024, ja täydet tavaramerkkioikeudet siirtyvät elokuussa 2026. Pian sen jälkeen, kun OCCRP otti häneen yhteyttä, yritys kuitenkin poisti verkkosivuiltaan tekoälyohjeistuksen, jossa todettiin, ettei yrityksellä ole "yhteyksiä yhdysvaltalaisiin, venäläisiin tai muihin ei-eurooppalaisiin tahoihin". Toimittajat eivät löytäneet todisteita haitallisesta koodista tai tietomurroista.brusselssignal