Менеджер паролей, которым пользуется Европа, сотрудничает с Россией и ФСБ
Менеджер паролей Passwork Europe S.L., активно позиционирующий себя как надежный продукт "Made in EU", оказался в центре громкого скандала. Расследование OCCRP выявило тесные технические связи компании с российским аналогом, который сотрудничает со спецслужбами РФ и обслуживает оборонные предприятия.
Общие корни и идентичный код
Хотя Passwork Europe, чей сайт заблокирован для Украины, утверждает, что является независимой испанской компанией, эксперты нашли неопровержимые доказательства общего происхождения. Обе версии программы имеют идентичный исходный код, почти одинаковые графики выпуска обновлений и схожую документацию. Исследователи обнаружили 517 практически одинаковых строк в скриптах установки обоих продуктов, говорится в большом отчете OCCRP.
История сервиса началась в российском Архангельске, где соучредители Илья Гарах и Андрей Пьянков зарегистрировали домены еще в 2014 году. Впоследствии бизнес прошел через финскую юрисдикцию и фирму в Объединенных Арабских Эмиратах, прежде чем в 2024 году была основана испанская компания.
Генеральный директор и единственный владелец Александр Мунтян уверяет, что операционной связи с РФ нет, а синхронность обновлений объясняет использованием общего поставщика из ОАЭ.
Исследователь в области безопасности Лукаш Олейник с этим не согласен. Он говорит, что "разделение между двумя продуктами является технически поверхностным".
Тень ФСБ и риски для клиентов
Российская компания Passwork LLC имеет сертификацию ФСБ и Федеральной службы по техническому и экспортному контролю (ФСТЭК). Эта процедура предусматривает передачу исходного кода государственным лабораториям для поиска "незадекларированных возможностей", которые фактически могут быть бэкдорами.
Поскольку европейская и российская версии основаны на одном коде, российские спецслужбы знают об уязвимостях, актуальных и для западных пользователей.
Среди клиентов Passwork Europe числятся государственные учреждения Ирландии и Дрезденский технический университет. Большинство из них не знало о российском прошлом разработки.
Ситуация осложняется тем, что российский "брат" сервиса открыто обслуживает предприятия, находящиеся под санкциями, в частности производителей ракет.
Несмотря на серьезные опасения, Александр Мунтян подчеркивает архитектуру "нулевого раскрытия". По его словам, шифрование происходит на стороне клиента, поэтому компания не имеет доступа к данным. Однако после запросов журналистов с сайта Passwork исчезли инструкции для искусственного интеллекта, в которых ранее отрицалась любая связь с Россией или другими странами за пределами ЕС.
В настоящее время ряд европейских государственных органов уже приступил к проверке безопасности использования этого программного обеспечения и, вероятно, откажется от него, когда будут подтверждены выводы отчета OCCRP.