Спільне коріння та ідентичний код
Хоча Passwork Europe, чий сайт заблокований для України, стверджує, що є незалежною іспанською фірмою, експерти знайшли беззаперечні докази спільного походження. Обидві версії програми мають ідентичний початковий код, майже однакові графіки виходу оновлень і схожу документацію. Дослідники виявили 517 практично однакових рядків у скриптах встановлення обох продуктів, йдеться у великому звіті OCCRP.
Історія сервісу почалася в російському Архангельську, де співзасновники Ілля Гарах та Андрій П'янков зареєстрували домени ще у 2014 році. Згодом бізнес пройшов через фінську юрисдикцію та фірму в Об'єднаних Арабських Еміратах, перш ніж заснувати іспанську компанію у 2024 році.
Генеральний директор і єдиний власник Олександр Мунтян запевняє, що операційного зв'язку з РФ немає, а синхронність оновлень пояснює використанням спільного постачальника з ОАЕ.
Дослідник безпеки Лукаш Олейник з цим не згоден. Він каже, що "поділ між двома продуктами є технічно поверхневим.
Тінь ФСБ та ризики для клієнтів
Російська компанія Passwork LLC має сертифікацію ФСБ та Федеральної служби з технічного та експортного контролю (ФСТЕК). Ця процедура передбачає передачу початкового коду державним лабораторіям для пошуку "недекларованих можливостей", які фактично можуть бути бекдорами.
Оскільки європейська та російська версії базуються на одному коді, російські спецслужби знають про вразливості, актуальні й для західних користувачів.
Серед клієнтів Passwork Europe значаться державні установи Ірландії та Дрезденський технічний університет. Більшість із них не знала про російське минуле розробки.
Ситуація ускладнюється тим, що російський "брат" сервісу відкрито обслуговує підприємства, які перебувають під санкціями, зокрема виробників ракет.
Попри серйозні занепокоєння, Олександр Мунтян наголошує на архітектурі "нульового розголошення". За його словами, шифрування відбувається на боці клієнта, тому компанія не має доступу до даних. Проте після запитів журналістів із сайту Passwork зникли інструкції для штучного інтелекту, які раніше заперечували будь-який зв'язок із Росією чи іншими країнами за межами ЄС.
Зараз низка європейських державних органів уже почала перевірку безпеки використання цього софту і, ймовірно, відмовиться від нього, коли доведе висновки звіту OCCRP.