Un gestionnaire de mots de passe utilisé par l’UE lié à la Russie

Une enquête conjointe de l'Organized Crime and Corruption Reporting Project (OCCRP), du Monde, d'Investico et d'autres médias européens a révélé que Passwork, un outil de gestion de mots de passe commercialisé comme un produit européen et utilisé par des agences gouvernementales dans toute l'UE, partage ses origines technologiques avec une contrepartie russe dont les clients incluent des fabricants de missiles sous sanctions et le Service fédéral de sécurité de Russie.

Une base de code partagée et un intermédiaire opaque aux EAU

Passwork Europe SL, dont le siège est à Barcelone, se présente avec un label "Made in EU 2017" et affirme être en totale conformité avec le RGPD et la directive NIS2. Mais l'enquête, publiée le 17 juillet, a révélé que le logiciel a été initialement développé à Arkhangelsk, en Russie, en 2014 par les cofondateurs russes Ilya Garakh et Andrey Pyankov.cybernews+1

Les journalistes ont découvert que le produit européen partage une base de code commune avec sa société sœur russe, Passwork LLC, reçoit des mises à jour selon un calendrier similaire et propose un manuel d'utilisation quasi identique. Les mises à jour de la version européenne ont été fournies par Passwork FZ-LLC, une entreprise enregistrée dans la zone économique de Ras Al Khaimah aux Émirats arabes unis en juillet 2022 et gérée par l'un des cofondateurs russes.brusselssignal

L'entreprise russe détient des certifications du Service fédéral de contrôle technique et d'exportation (FSTEC), une agence sous la tutelle du ministère russe de la Défense, et du FSB ; des certifications qui nécessitent un examen détaillé du code source. Ses clients affichés incluent Gazprom, Transneft, le ministère russe de la Défense, le FSB et des fabricants de missiles russes sous sanctions.cybernews+1

Clients européens et avertissements de sécurité

Les clients européens de Passwork incluent au moins trois agences gouvernementales irlandaises, l'Université de technologie de Dresde en Allemagne, un important opérateur néerlandais de parcs solaires, un opérateur portuaire français et des institutions desservies par un fournisseur informatique belge pour le gouvernement régional de Bruxelles.irishtimes+2

Bart van den Berg, chef de l'unité de sécurité de l'Institut Clingendael, a averti que l'accès au code source pourrait donner à l'État russe "une vision approfondie du logiciel et de ses vulnérabilités, voire permettre l'ajout délibéré d'éléments". Il a ajouté que si les deux produits partagent la même base de code, "les vulnérabilités peuvent affecter les deux versions".brusselssignal

Le PDG nie les liens et supprime les conseils sur l'IA

Alexander Muntyan, PDG et actionnaire unique de Passwork Europe SL, a nié toute relation entre les entités espagnole et russe. "Nous ne partageons pas de clients, de serveurs, de systèmes de support, de dossiers clients, d'accès administratif ou d'environnements clients", a-t-il déclaré aux journalistes. Il a cité l'"architecture zéro connaissance" du produit, où le chiffrement se produit côté client, comme une mesure de protection.brusselssignal

Muntyan a reconnu l'"origine commune de la base de code" et a confirmé avoir acquis les droits du logiciel auprès de l'entité des EAU en 2024, avec des droits de marque complets prévus pour août 2026. Cependant, peu après que l'OCCRP l'ait contacté pour la première fois, l'entreprise a supprimé de son site web des conseils sur l'IA qui le décrivaient comme n'ayant "aucune affiliation avec des entités américaines, russes ou autres entités non européennes". Aucune preuve de code malveillant ou de compromission de données n'a été trouvée par les journalistes.brusselssignal