Aðgangsstýringarforrit notað af stjórnvöldum í ESB rekið til Rússlands

Sameiginleg rannsókn Organized Crime and Corruption Reporting Project (OCCRP), Le Monde, Investico og annarra evrópskra fjölmiðla hefur leitt í ljós að Passwork, lykilorðastjórnunarforrit sem markaðssett er sem evrópsk vara og notað af ríkisstofnunum um allt ESB, á tæknilegan uppruna sinn sameiginlegan með rússneskum hliðstæðum aðila sem þjónustar meðal annars flugskeytaframleiðendur sem sæta refsiaðgerðum og rússnesku alríkisöryggislögregluna FSB.

Sameiginlegur grunnkóði og ógegnsætt milliliðafyrirtæki í Sameinuðu arabísku furstadæmunum

Passwork Europe SL, með höfuðstöðvar í Barcelona, auglýsir sig með "Made in EU 2017" merki og fullyrðir að það uppfylli kröfur GDPR og NIS2. Rannsóknin, sem birt var 17. júlí, leiddi hins vegar í ljós að hugbúnaðurinn var upphaflega þróaður í Arkhangelsk í Rússlandi árið 2014 af rússnesku stofnendunum Ilya Garakh og Andrey Pyankov.cybernews+1

Blaðamenn uppgötvuðu að evrópska varan deilir sameiginlegum grunnkóða með rússneska systurfyrirtækinu Passwork LLC, fær uppfærslur á svipuðum tíma og er með nær eins notendahandbók. Uppfærslur á evrópsku útgáfunni hafa borist í gegnum Passwork FZ-LLC, fyrirtæki skráð á efnahagssvæðinu í Ras Al Khaimah í Sameinuðu arabísku furstadæmunum í júlí 2022 og stýrt af einum af rússnesku stofnendunum.brusselssignal

Rússneska fyrirtækið hefur vottanir frá alríkisstofnun um tækni- og útflutningseftirlit (FSTEC), sem heyrir undir varnarmálaráðuneyti Rússlands, og frá FSB. Þessar vottanir krefjast ítarlegrar skoðunar á grunnkóða. Meðal viðskiptavina eru Gazprom, Transneft, rússneska varnarmálaráðuneytið, FSB og rússneskir flugskeytaframleiðendur sem sæta refsiaðgerðum.cybernews+1

Evrópskir viðskiptavinir og öryggisviðvaranir

Meðal evrópskra viðskiptavina Passwork eru að minnsta kosti þrjár írskar ríkisstofnanir, Tækniháskólinn í Dresden í Þýskalandi, stór hollenskur rekstraraðili sólargarða, franskur hafnarrekstraraðili og stofnanir sem fá þjónustu í gegnum belgískan upplýsingatækniveitanda fyrir svæðisstjórn Brussel.irishtimes+2

Bart van den Berg, yfirmaður öryggissviðs Clingendael-stofnunarinnar, varaði við því að aðgangur að grunnkóðanum gæti veitt rússneska ríkinu "víðtæka innsýn í hugbúnaðinn og veikleika hans, eða jafnvel bætt við hann íhlutum af ásettu ráði." Hann bætti við að ef báðar vörurnar deila sama grunnkóða "gætu veikleikar haft áhrif á báðar útgáfur."brusselssignal

Forstjóri neitar tengslum og fjarlægir leiðbeiningar

Alexander Muntyan, forstjóri og eini hluthafi Passwork Europe SL, neitaði öllum tengslum milli spænska og rússneska fyrirtækisins. "Við deilum ekki viðskiptavinum, netþjónum, stuðningskerfum, viðskiptavinaskrám, stjórnunaraðgangi eða umhverfi viðskiptavina," sagði hann við blaðamenn. Hann benti á "zero-knowledge" arkitektúr vörunnar, þar sem dulkóðun á sér stað hjá notanda, sem öryggisráðstöfun.brusselssignal

Muntyan viðurkenndi "sameiginlegan uppruna grunnkóða" og staðfesti að hann hefði eignast réttindi á hugbúnaðinum frá fyrirtækinu í Sameinuðu arabísku furstadæmunum árið 2024, með fullum vörumerkjaréttindum í ágúst 2026. Hins vegar, skömmu eftir að OCCRP hafði samband við hann, fjarlægði fyrirtækið leiðbeiningar af vefsíðu sinni sem lýstu því yfir að það hefði "engin tengsl við bandarískar, rússneskar eða aðrar utan-evrópskar einingar." Engar vísbendingar um skaðlegan kóða eða gagnabrot fundust við rannsókn blaðamanna.brusselssignal