Overheden mogelijk kwetsbaar via Spaanse wachtwoordkluis met Russische roots

In dit artikel:

Het in Spanje gevestigde Passwork ligt onder vuur omdat zijn wachtwoordbeheer mogelijk nauwe banden heeft met een Russisch zusterbedrijf. Volgens onderzoek van OCCRP lijken de Spaanse en Russische versies van de software sterk op elkaar: ze hebben dezelfde naam, hetzelfde logo, vergelijkbare handleidingen en bijna synchroon lopende updates. Passwork levert zijn diensten aan Europese overheden, universiteiten en andere organisaties, waardoor er zorgen zijn over de veiligheid van opgeslagen wachtwoorden.

Passwork ontkent dat er een relatie bestaat tussen het Spaanse bedrijf en de Russische tegenhanger. CEO en eigenaar Alexander Muntyan zegt dat klantgegevens veilig op privéservers worden bewaard. OCCRP stelt echter vast dat Passwork oorspronkelijk in 2014 in Archangelsk werd opgericht, met dezelfde oprichters die nu ook betrokken zijn bij het Russische bedrijf. Daarnaast werken zij mee aan een softwarebedrijf in de Verenigde Arabische Emiraten dat updates levert aan de Spaanse tak.

De zorgen nemen toe doordat het Russische bedrijf gecertificeerd is door een agentschap onder het Russische ministerie van Defensie. Daarmee zou Moskou mogelijk toegang krijgen tot de broncode van de software en inzicht in kwetsbaarheden. Beveiligingsexperts, onder wie Bart van den Berg van Clingendael, waarschuwen dat dit ernstige risico’s kan opleveren voor Europese gebruikers. Onder de klanten bevinden zich onder meer Novar, RTV Noord, de universiteit van Dresden en Ierse overheidsinstanties.