Het Spaanse bedrijf Passwork Europe S.L. levert een wachtwoordmanager aan Europese overheidsinstanties en wetenschappelijke instellingen, terwijl het product technologisch en operationeel is verweven met een Russische zusteronderneming die certificering heeft ondergaan bij de Russische inlichtingen- en veiligheidsdiensten. Dat blijkt uit onderzoek van Le Monde.
Passwork Europe presenteert zichzelf als een onafhankelijke Europese ontwikkelaar, maar de codebasis van het programma is identiek aan die van de Russische versie. De software-updates worden gesynchroniseerd en de documentatie loopt gelijk. Bovendien verloopt het updatekanaal via een nauwelijks transparante vennootschap in de Verenigde Arabische Emiraten, die wordt bestuurd door een van de Russische medeoprichters.
Russische certificering
De Russische moedermaatschappij Passwork LLC heeft een certificeringstraject doorlopen bij de Federale Dienst voor Technische en Exportcontrole (FSTEC), een onderdeel van het Russische ministerie van Defensie. Tijdens dat traject wordt de volledige broncode geanalyseerd op kwetsbaarheden en niet-gedocumenteerde functionaliteiten. Daarmee hebben Russische inlichtingendiensten een gedetailleerd inzicht gekregen in de architectuur van het product.
Omdat de Europese en Russische versies dezelfde oorsprong delen, kunnen eventueel aangetroffen of bewust aangebrachte zwakheden worden misbruikt tegen Europese gebruikers. De zorgen worden versterkt door de synchronisatie van releases: versie 7.6 van beide varianten werd gelijktijdig uitgebracht, wat wijst op één ontwikkelproces.
Updatekanaal via VAE
De updateketen van Passwork Europe verloopt via een bedrijf in de Verenigde Arabische Emiraten dat onder controle staat van een Russische medeoprichter. Dit roept herinneringen op aan de SolarWinds-aanval, waarbij kwaadaardige code via legitieme software-updates werd verspreid. Voor Europese overheden die de wachtwoordmanager gebruiken, betekent dit een blijvend risico op compromittering van wachtwoorden en toegang tot kritieke systemen.
Onwetende klanten
De meeste Europese klanten, waaronder overheidsdiensten in Ierland en andere landen, waren niet op de hoogte van de Russische oorsprong van de software. Volgens het onderzoek is er geen volledige openheid van zaken gegeven over de banden met Rusland. Dit kan worden beschouwd als misleiding over de mate van onafhankelijkheid en brengt hoge risico’s met zich mee voor de cyberveiligheid van Europese instellingen.
Het gebruik van Passwork Europe door overheidsorganen, universiteiten en bedrijven die met gevoelige gegevens werken, vormt een directe bedreiging voor de nationale veiligheid van Europese landen. In het kader van de hybride oorlogvoering van Rusland tegen de EU, waarbij cyberinstrumenten worden ingezet voor spionage en sabotage, is de aanwezigheid van een product met Russische wortels in de toegangsketen van Europese netwerken een onaanvaardbaar risico.
Europese organisaties die hebben gekozen voor Passwork Europe vanwege de Europese herkomst, worden nu geconfronteerd met de noodzaak van een spoedaudit en het zoeken naar alternatieven. Dat brengt financiële kosten, verlies van vertrouwen en reputatieschade met zich mee.
