European Password tartalommegosztás
Az OCCRP, a Le Monde és több európai oknyomozó szerkesztőség vizsgálata szerint a Passwork Europe S.L., amely spanyol, európai fejlesztésű vállalati jelszókezelőként hirdeti magát, a gyakorlatban továbbra is szorosan kapcsolódik az orosz Passwork LLC-hez. A Passworkot eredetileg az oroszországi Arhangelszkben alapította Ilja Garah és Andrej Pjankov, majd 2017-ben létrehozták a finn Passwork Oy vállalatot, hogy nyugati ügyfelek számára elfogadhatóbb legyen a termék. Az ukrajnai háború kitörése után a finn cég megszűnt, a tulajdonosi és üzleti struktúra pedig előbb az Egyesült Arab Emírségekbe (Passwork FZ-LLC), majd Spanyolországba (Passwork Europe S.L.) került. A vizsgálat szerint azonban a fejlesztési lánc lényegében nem változott, a spanyol cég maga is elismerte, hogy szoftverét az emírségekbeli vállalattól licenceli, amelyet továbbra is az eredeti orosz alapítók irányítanak.
A kutatók több technikai bizonyítékot is bemutatnak arra, hogy az európai és az orosz termék gyakorlatilag ugyanaz. A két weboldalon azonos funkciók jelennek meg, a verziófrissítések ugyanazon a napon érkeznek, a kiadási ütemezés szinkronban mozog, és a forráskód fejlődése is közös fejlesztési vonalra utal. Miközben a Passwork Europe Designed in Europe megoldásként hirdeti a terméket, az orosz Passwork weboldala ugyanazt a szoftvert kínálja orosz állami szerveknek és nagyvállalatoknak, köztük olyan szankcionált szervezeteknek, mint a Gazprom vagy az Almaz-Antej. Az orosz vállalat rendelkezik az FSB és az FSTEC engedélyeivel is. Ezek a licencek önmagukban nem bizonyítják az orosz titkosszolgálatokkal való együttműködést, ugyanakkor az orosz jogszabályok alapján jelentős állami befolyást tesznek lehetővé a vállalat működésére.
Az oknyomozás szerint a Passwork Europe ügyfelei között több európai állami intézmény és kritikus szervezet is megtalálható, köztük az Ír Állami Laboratórium, a Drezdai Műszaki Egyetem, valamint francia és holland szervezetek. Több érintett intézmény a cikk megjelenése után felülvizsgálatot indított, néhány holland szervezet pedig azonnal lecserélte a rendszert és megváltoztatta az összes tárolt hitelesítő adatot. A szakértők ugyanakkor hangsúlyozzák, hogy nincs bizonyíték hátsó kapura vagy kompromittált frissítésre. A kockázat az ellátási láncból ered: egy vállalati jelszókezelő a legmagasabb bizalmi szintű szoftverek közé tartozik, ezért már az is jelentős nemzetbiztonsági kockázatot jelenthet, ha a fejlesztés, a frissítések vagy a tulajdonosi háttér nem független egy olyan vállalattól, amely orosz állami engedélyekkel működik és továbbra is ugyanazon fejlesztési lánc része. Ahogy az OCCRP által idézett szakértő fogalmaz, a jelszókezelők olyanok, mint a légzsákok – csak egyszer derül ki, hogy valóban megbízhatók-e.
