ESB naudojama slaptažodžių tvarkyklė siejama su Rusija

Jungtinis „Organized Crime and Corruption Reporting Project“ (OCCRP), „Le Monde“, „Investico“ ir kitų Europos žiniasklaidos priemonių tyrimas atskleidė, kad „Passwork“ – slaptažodžių valdymo įrankis, parduodamas kaip europietiškas produktas ir naudojamas vyriausybinių agentūrų visoje ES, dalijasi technologine kilme su Rusijos atitikmeniu, kurio klientų sąraše yra sankcionuoti raketų gamintojai ir Rusijos federalinė saugumo tarnyba (FSB).

Bendras kodas ir nepermatomas tarpininkas JAE

Barselonoje įsikūrusi „Passwork Europe SL“ save reklamuoja su „Made in EU 2017“ ženklu ir teigia visiškai atitinkanti GDPR bei NIS2 reikalavimus. Tačiau liepos 17 d. paskelbtas tyrimas nustatė, kad programinę įrangą 2014 m. Archangelske (Rusija) sukūrė rusai Ilja Garakhas ir Andrejus Pjankovas.cybernews+1

Žurnalistai išsiaiškino, kad europietiškas produktas dalijasi bendru kodu su savo seserine įmone Rusijoje „Passwork LLC“, gauna atnaujinimus panašiu laiku ir turi beveik identišką vartotojo vadovą. Europos versijos atnaujinimai buvo tiekiami per „Passwork FZ-LLC“ – 2022 m. liepos mėn. JAE Ras al Chaimos ekonominėje zonoje registruotą įmonę, kuriai vadovauja vienas iš Rusijos bendraįkūrėjų.brusselssignal

Rusijos įmonė turi Rusijos gynybos ministerijai pavaldžios Federalinės techninio ir eksporto kontrolės tarnybos (FSTEC) bei FSB sertifikatus – sertifikatus, kuriems gauti reikalinga išsami pirminio kodo peržiūra. Tarp jos reklamuojamų klientų yra „Gazprom“, „Transneft“, Rusijos gynybos ministerija, FSB ir sankcionuoti Rusijos raketų gamintojai.cybernews+1

Europos klientai ir saugumo įspėjimai

„Passwork“ Europos klientų sąraše yra bent trys Airijos vyriausybės agentūros, Drezdeno technikos universitetas Vokietijoje, didelis Nyderlandų saulės parkų operatorius, Prancūzijos uosto operatorius ir institucijos, aptarnaujamos per Belgijos IT tiekėją Briuselio regioninei vyriausybei.irishtimes+2

„Clingendael“ instituto saugumo skyriaus vadovas Bartas van den Bergas įspėjo, kad prieiga prie pirminio kodo gali suteikti Rusijos valstybei „tolli siekiančią įžvalgą apie programinę įrangą ir jos pažeidžiamumą, arba net sąmoningai į ją įtraukti elementų“. Jis pridūrė, kad jei abu produktai dalijasi tuo pačiu kodu, „pažeidžiamumai gali paveikti abi versijas“.brusselssignal

Generalinis direktorius neigia ryšius ir šalina AI gaires

„Passwork Europe SL“ generalinis direktorius ir vienintelis akcininkas Alexanderis Muntyanas neigė bet kokius ryšius tarp Ispanijos ir Rusijos subjektų. „Mes nesidalijame klientais, serveriais, palaikymo sistemomis, klientų įrašais, administracine prieiga ar klientų aplinkomis“, – sakė jis žurnalistams. Kaip apsaugos priemonę jis nurodė produkto „zero-knowledge“ architektūrą, kurioje šifravimas vyksta kliento pusėje.brusselssignal

Muntyanas pripažino „bendrą kodo kilmę“ ir patvirtino, kad 2024 m. įsigijo teises į programinę įrangą iš JAE subjekto, o visos prekių ženklo teisės bus perimtos 2026 m. rugpjūtį. Tačiau netrukus po to, kai OCCRP pirmą kartą su juo susisiekė, bendrovė iš savo svetainės pašalino AI gaires, kuriose buvo teigiama, kad ji „neturi jokių ryšių su JAV, Rusijos ar kitais ne Europos subjektais“. Žurnalistai nerado jokių kenkėjiško kodo ar duomenų kompromitavimo įrodymų.brusselssignal