Europejski menedżer haseł ma związki z Rosją. Korzystają z niego także firmy z UE

Menedżery haseł należą do najważniejszych narzędzi wykorzystywanych przez firmy, administrację publiczną i użytkowników indywidualnych. To właśnie w nich przechowywane są dane dostępowe do systemów, serwerów, poczty elektronicznej czy usług finansowych. Dlatego informacje ujawnione przez międzynarodowe śledztwo dziennikarskie wywołały ogromne zainteresowanie ekspertów od cyberbezpieczeństwa.

Passwork, reklamowany jako europejskie rozwiązanie zgodne z unijnymi przepisami i zasadami ochrony danych, według ustaleń dziennikarzy ma znacznie bardziej skomplikowaną historię. Oprogramowanie powstało w Rosji, a dopiero po rozpoczęciu pełnoskalowej wojny na Ukrainie działalność została przeniesiona do Hiszpanii.

Europejski wizerunek, rosyjskie początki

Do takich wniosków doszło wspólne śledztwo redakcji Investico, NU.nl, De Groene Amsterdammer, Le Monde i De Tijd. Na anglojęzycznej stronie internetowej Passwork przedstawia się jako europejska firma rozwijająca rozwiązania zgodne z wymogami RODO oraz dyrektywy NIS2. Producent informuje również o działalności prowadzonej z Barcelony i podkreśla, że jego usługi spełniają europejskie standardy dotyczące ochrony danych.

Według ustaleń dziennikarzy początki projektu sięgają jednak Rosji. Passwork miał zostać opracowany już w 2014 roku, a dopiero później rozpoczęto budowę europejskiej struktury biznesowej.

Passwork reklamuje się jako aplikacja europejska, jednak śledczy odkryli, że została opracowana w Rosji, a następnie przeniesiona do Hiszpanii. Eksperci ostrzegają, że techniczne podobieństwa między wersjami rosyjską i europejską mogą narazić europejskich klientów na zagrożenia cybernetyczne. 

Rosyjska wersja nadal działa

Największe kontrowersje budzi fakt, że rosyjska edycja Passwork nie zniknęła z rynku. Jak wynika ze śledztwa, z oprogramowania korzystają duże rosyjskie przedsiębiorstwa państwowe, w tym Gazprom oraz Transnieft. Wśród użytkowników mają znajdować się także rosyjskie Ministerstwo Obrony oraz Federalna Służba Bezpieczeństwa.

To właśnie ten element sprawia, że eksperci zaczęli zadawać pytania dotyczące bezpieczeństwa europejskich klientów korzystających z tej samej technologii.

Eksperci ostrzegają przed potencjalnym ryzykiem

Specjaliści zajmujący się cyberbezpieczeństwem zwracają uwagę, że nawet jeśli europejska infrastruktura działa niezależnie od rosyjskiej, podobieństwa w kodzie źródłowym mogą stanowić potencjalny problem.

Bart van den Berg z holenderskiego Instytutu Clingendael ocenił, że powiązania z Rosją mogą ułatwiać poznanie architektury oprogramowania oraz identyfikowanie jego słabych punktów. W przypadku wykrycia podatności podobieństwa między obiema wersjami mogłyby zostać wykorzystane do prowadzenia cyberataków na europejskich użytkowników.

Eksperci podkreślają jednak, że samo rosyjskie pochodzenie projektu nie stanowi dowodu na istnienie tylnej furtki ani aktywnego zagrożenia. Obawy dotyczą przede wszystkim możliwości analizy wspólnego kodu oraz ewentualnego wykorzystania wykrytych luk.

Wśród klientów znajdują się europejskie firmy i instytucje

Śledztwo wskazuje, że Passwork zdobył klientów również poza Rosją.

Z rozwiązania korzystają między innymi przedsiębiorstwa działające w sektorze energetycznym, operatorzy infrastruktury oraz instytucje publiczne w kilku krajach Europy. W publikacji wymieniono między innymi holenderską firmę Novar, francuskiego operatora portowego oraz irlandzkie agencje rządowe. Zdaniem ekspertów szczególnie wrażliwe pozostają organizacje zarządzające infrastrukturą krytyczną. Uzyskanie dostępu do systemów takich podmiotów mogłoby prowadzić do bardzo poważnych konsekwencji dla funkcjonowania całych regionów.

Firma odpowiada na zarzuty

Prezes Passwork Alexander Muntyan zapewnia, że europejska działalność funkcjonuje niezależnie od rosyjskiej wersji produktu. Według jego wyjaśnień sprzedaż na europejskim rynku odbywa się poprzez podmiot zarejestrowany w Zjednoczonych Emiratach Arabskich. Firma deklaruje również, że dane klientów przechowywane są na serwerach znajdujących się w Niemczech, a rosyjska spółka nie posiada dostępu do infrastruktury, systemów ani informacji należących do europejskich użytkowników.

Na razie nie przedstawiono dowodów wskazujących na wyciek danych klientów lub przeniknięcie do europejskiej wersji Passwork.

Pochodzenie oprogramowania staje się coraz ważniejsze

Sprawa Passwork pokazuje, że pochodzenie aplikacji wykorzystywanych przez administrację i przedsiębiorstwa coraz częściej staje się przedmiotem szczegółowej analizy. W ostatnich latach wiele państw zaczęło dokładniej sprawdzać nie tylko miejsce rejestracji producenta, ale również historię projektu, skład zespołów programistycznych oraz powiązania właścicielskie.

To nie pierwszy przypadek, gdy produkt przedstawiany jako europejski wywołuje pytania dotyczące swoich korzeni. Podobne dyskusje pojawiały się wcześniej wokół innych projektów rozwijanych poza Unią Europejską, a następnie przenoszonych na europejski rynek.