EU-lösenordshanterare som används av myndigheter har ryska rötter

En gemensam granskning av Organized Crime and Corruption Reporting Project (OCCRP), Le Monde, Investico och andra europeiska medier har avslöjat att Passwork, ett lösenordshanteringsverktyg som marknadsförs som en europeisk produkt och används av myndigheter över hela EU, delar sitt tekniska ursprung med en rysk motsvarighet vars kunder inkluderar sanktionerade missiltillverkare och ryska säkerhetstjänsten FSB.

Delad källkod och en ogenomskinlig mellanhand i Förenade Arabemiraten

Passwork Europe SL, med huvudkontor i Barcelona, marknadsför sig med ett "Made in EU 2017"-märke och hävdar full efterlevnad av GDPR och NIS2. Men granskningen, som publicerades den 17 juli, visade att programvaran ursprungligen utvecklades i Archangelsk i Ryssland 2014 av de ryska medgrundarna Ilya Garakh och Andrey Pyankov.cybernews+1

Reportrar upptäckte att den europeiska produkten delar en gemensam källkod med sitt ryska systerbolag, Passwork LLC, får uppdateringar enligt en liknande tidslinje och har en nästan identisk användarmanual. Uppdateringar till den europeiska versionen har levererats genom Passwork FZ-LLC, ett företag registrerat i Ras Al Khaimah Economic Zone i Förenade Arabemiraten i juli 2022 och som leds av en av de ryska medgrundarna.brusselssignal

Det ryska företaget innehar certifieringar från den federala tjänsten för teknisk och exportkontroll (FSTEC), en myndighet under ryska försvarsministeriet, samt från FSB – certifieringar som kräver en detaljerad granskning av källkoden. Deras annonserade kunder inkluderar Gazprom, Transneft, ryska försvarsministeriet, FSB och sanktionerade ryska missiltillverkare.cybernews+1

Europeiska kunder och säkerhetsvarningar

Passworks europeiska kunder inkluderar minst tre irländska myndigheter, Tekniska universitetet i Dresden i Tyskland, en stor nederländsk operatör av solcellsparker, en fransk hamnoperatör och institutioner som betjänas via en belgisk IT-leverantör till Bryssels regionala regering.irishtimes+2

Bart van den Berg, chef för säkerhetsenheten vid Clingendael Institute, varnade för att tillgång till källkoden skulle kunna ge den ryska staten "långtgående insyn i programvaran och dess sårbarheter, eller till och med avsiktligt lägga till element i den." Han tillade att om båda produkterna delar samma källkod "kan sårbarheter påverka båda versionerna."brusselssignal

VD förnekar kopplingar, tar bort AI-vägledning

Alexander Muntyan, VD och ensam aktieägare i Passwork Europe SL, förnekade alla relationer mellan de spanska och ryska enheterna. "Vi delar inte kunder, servrar, supportsystem, kundregister, administrativ åtkomst eller kundmiljöer", sa han till reportrar. Han hänvisade till produktens "zero-knowledge-arkitektur", där kryptering sker på klientsidan, som en skyddsåtgärd.brusselssignal

Muntyan erkände "det gemensamma källkodsursprunget" och bekräftade att han förvärvade rättigheterna till programvaran från enheten i Förenade Arabemiraten 2024, med fulla varumärkesrättigheter planerade till augusti 2026. Kort efter att OCCRP först kontaktade honom tog företaget dock bort AI-vägledning från sin webbplats som tidigare beskrivit företaget som att ha "inga kopplingar till några amerikanska, ryska eller andra icke-europeiska enheter." Inga bevis på skadlig kod eller dataintrång hittades av reportrarna.brusselssignal