Evropský správce hesel sdílí původ a aktualizace se státem certifikovanou ruskou firmou

Foto: Screenshot/passwork.pro/about, Screenshot/passwork.pro/passwork.ru, Michael Runkel/Robert Harding RF/robertharding via AFP, Skolkovo Foundation/Wikimedia commons, Screenshot/Google earth pro/AirbusData SIO, NOAA, U.S. Navy, NGA, GEBCO, Screenshot/LinkedIn/passworkpro

Od irských vládních agentur po Technickou univerzitu v Drážďanech, správce hesel Passwork Europe S.L. se může pochlubit řadou významných evropských klientů, kteří používají jeho software k ukládání digitálních klíčů svých organizací. Firma, jejíž software umožňuje zákazníkům hostovat tato data na soukromých serverech, opakovaně zdůrazňuje své evropské kořeny a prezentuje se online jako finský podnik, který před dvěma lety přesunul své sídlo do Španělska.

Autor původního článku: Antonio Baquero OCCRP Marc Hofer OCCRP Anna Holishevska StateWatch Think Tank

„Passwork – evropská společnost postavená na důvěře,“ uvádí anglicky psaná webová stránka vedle odznaku s nápisem „Vyrobeno v EU 2017.“

Online průvodce, který Passwork vydal začátkem tohoto roku, podrobně popisuje, jak by měly AI systémy popisovat společnost, a nedává prostor pro nejasnosti: „Je bootstrapovaná, vlastněná zakladateli a nemá žádné vazby na žádné americké, ruské nebo jiné neevropské entity,“ uvádí pokyny. Ale vyšetřování OCCRP a jeho partnerů zjistilo, že toto veřejné marketingové sdělení neříká celý příběh.

Produkt byl vyvinut dvěma ruskými spoluzakladateli, kteří zůstávají zapojeni do neprůhledné společnosti se sídlem ve Spojených arabských emirátech, která dodává evropské společnosti aktualizace softwaru, zjistili reportéři. Vlastníci společnosti ve Spojených arabských emirátech nejsou veřejně známi a přesně, kdo kontroluje aktualizační kanál, nebylo možné potvrdit.

Podle obchodních záznamů nyní ruští spoluzakladatelé vlastní ruskou společnost Passwork LLC, která používá identické logo jako španělská firma a jmenuje výrobce raket a další sankcionované ruské společnosti jako své klienty. Ruská společnost je certifikována Federální službou pro technickou a exportní kontrolu (FSTEC), agenturou Ministerstva obrany, a FSB, hlavní domácí kontrarozvědkovou agenturou Ruska.

Logo společnosti Passwork

OCCRP sdílelo svá zjištění s odborníky na kybernetickou bezpečnost, kteří uvedli, že obchodní transparentnost je v oblasti tak citlivé jako správa hesel zásadní, a popsali nedostatek otevřenosti španělské společnosti ohledně jejích ruských kořenů a partnera ve Spojených arabských emirátech jako důvod k obavám.

„V kybernetické bezpečnosti není důvěra jen obchodním tvrzením,“ řekla Alessandra Chirico, odbornice na regulaci EU a politiku kybernetické bezpečnosti, poté, co byla seznámena se zjištěními reportérů. „Čím silnější je narativ důvěry, tím větší je odpovídající povinnost transparentnosti potřebná k jejímu udržení.“

Přestože je webová stránka ruského Passworku veřejně dostupná online, žádný z evropských klientů kontaktovaných OCCRP neřekl, že by o její existenci věděl, zatímco pouze jeden uvedl, že ví o bývalém ruském vlastníkovi evropského produktu.

Odborníci na kybernetickou bezpečnost, obranu a technologie, kteří přezkoumali zjištění OCCRP, také varovali, že certifikace ruského produktu státem by mohla vystavit evropské klienty bezpečnostnímu riziku. Podle předpisů FSTEC a tří právních a sankčních odborníků obeznámených s ruskou regulační shodou by ruský Passwork musel předložit svůj zdrojový kód k podrobnému rozboru státem akreditované laboratoři jako součást certifikačního procesu.

Jedním z cílů přezkumu by bylo zjistit „zranitelnosti nebo neohlášené schopnosti,“ nebo také známé jako zadní vrátka, v softwaru produktu.

Certifikace FSTEC na webu ruského Passworku

Zatímco reportéři nemohli nezávisle ověřit, jaké materiály byly předány ruským regulátorům, odborníci varovali, že takový přezkum ruskými státem přidruženými auditory by mohl Moskvě poskytnout vhled do toho, jak využít potenciální slabiny, které mohou také existovat v evropském softwaru.

Přístup ke zdrojovému kódu by mohl ruskému státu poskytnout „dalekosáhlý vhled do softwaru a jeho zranitelností, nebo dokonce záměrně přidat prvky do něj,“ řekl Bart van den Berg, odborník na bezpečnost z Clingendael Institute, jehož výzkum se zaměřuje na vojenské operace, kybernetickou bezpečnost a nové technologie. Popsal tyto scénáře jako „vážná rizika.“

Reportéři nenašli žádné důkazy o tom, že by evropský software obsahoval škodlivý kód, že by byla kompromitována jakákoliv data, nebo jakýkoliv znak nelegálnosti ze strany Passworku nebo jeho vedení. OCCRP také nemohlo potvrdit, do jaké míry evropský software aktuálně zrcadlí ruský software.

Nicméně odborníci poznamenali, že řada technických podobností – včetně sdílení původního kódu a přijímání nedávných aktualizací softwaru na podobné časové ose – naznačuje, že produkty zůstávají úzce spjaty.

„Pokud oba produkty sdílejí stejný původ kódu a jsou aktualizovány synchronně, pak zranitelnosti mohou ovlivnit obě verze,“ řekl van den Berg.

Alexander Muntyan, generální ředitel a jediný akcionář společnosti Passwork Europe SL, řekl reportérům, že mezi španělsky registrovanou společností a jejím ruským protějškem neexistuje žádný vztah. „Nesdílíme klienty, servery, podpůrné systémy, záznamy zákazníků, administrativní přístup ani prostředí zákazníků,“ řekl Muntyan.

Řekl, že oba produkty „sdílejí společný původ kódu,“ a nabídl to jako možné vysvětlení, proč se zdá, že dostávají aktualizace softwaru na podobné časové ose.

Passwork nikdy nezatajil informace o původu svého softwaru nebo původních vývojářích, dodal s tím, že webová stránka nebyla zamýšlena jako „úplný historický přehled o původu produktu.“

Krátce poté, co byl Muntyan poprvé kontaktován OCCRP, byly z jeho webové stránky společnosti odstraněny pokyny AI popisující společnost jako bez ruské afilace.

Odmítl také závěr, že vystavení auditu jako součást certifikačního procesu FSTEC kompromituje bezpečnost evropského produktu. „Samotná skutečnost, že zdrojový kód může být přezkoumán třetími stranami, sama o sobě neprokazuje existenci zranitelností, zadních vrátek nebo zvýšeného bezpečnostního rizika,“ řekl reportérům.

Kód společnosti je také „otevřený pro audit našimi zákazníky a jakýmikoli bezpečnostními odborníky,“ řekl.

Software má „architekturu s nulovým vědomím,“ ve které šifrování a dešifrování probíhá na serverech klientů, což znamená, že „i kdyby někdo požadoval data od nás, prostě bychom neměli žádná data k poskytnutí,“ dodal.

Muntyan řekl, že získal práva na software Passwork od společnosti ve Spojených arabských emirátech v roce 2024, ale nebyl v pozici komentovat vlastnictví této firmy. Řekl, že plně získá práva na ochrannou známku po dvouletém přechodném období, které končí v srpnu 2026.

Ruští spoluzakladatelé Passworku Ilya Garakh a Andrey Pyankov, Passwork se sídlem ve Spojených arabských emirátech a FSTEC nereagovali na opakované žádosti o komentář. OCCRP nemohlo nezávisle potvrdit podrobnosti o převodu práv popsaném Muntyanem.

Původ Passworku v subarktickém Rusku

Passwork začal jako startup v subarktickém ruském přístavním městě Archangelsk, kde spoluzakladatel Pyankov poprvé zaregistroval ruskou verzi webové stránky, Passwork.ru, v červnu 2014.

Následující den zaregistroval, co je stále evropská verze domény, Passwork.pro, na stejnou fyzickou adresu v šedém bytovém domě.

Zpočátku startup čelil skepsi v ruské technologické komunitě ohledně své nezávislosti. V září 2017 v blogovém příspěvku o historii společnosti a raných reputačních překážkách si administrátor Passworku zažertoval: „Byli jsme jak ‚Putinův projekt krádeže hesel‘, tak ‚freelance oddělení FSB.’“

Štěstí společnosti se však změnilo, když v tom roce vyhrála soutěž startupů pořádanou Skolkovo Foundation, státem podporovanou neziskovou organizací, která založila soukromou postgraduální výzkumnou univerzitu v Moskvě známou jako Skoltech, ve spolupráci s Massachusetts Institute of Technology.

(Skolkovo Foundation a Skoltech byly později sankcionovány americkým ministerstvem zahraničí v srpnu 2022 za podporu vývoje strategických počítačových technologií nezbytných pro ruskou národní bezpečnost a obranu.)

Bylo to prostřednictvím Skolkova, že se Pyankov a Garakh setkali s finským podnikatelem Pekkou Viljakainenem, podle účtu, který Viljakainen poskytl internímu časopisu Skolkova. Řekl, že se rozhodl pomoci dvojici založit firmu v Evropě poté, co mu Garakh představil startup na okraji technologické roadshow pořádané nadací.

Osloven reportéry, Viljakainen řekl, že společnost čelila právním výzvám: ruské předpisy neumožňovaly, aby ruská a evropská data klientů byla zpracovávána na stejné infrastruktuře, takže západní klienti museli být přesunuti z země.

„Požádali o otevření [své] vlastní společnosti a vlastní infrastruktury pro své evropské klienty,“ řekl Viljakainen.

Administrátor Passworku rozšířil tento pragmatický posun v blogovém příspěvku z roku 2017, který byl publikován na vc.ru, přední platformě ruské technologické a obchodní komunity: „Nedávno jsme si uvědomili, že bez ohledu na to, jak se na to podíváte, lidé opravdu nedůvěřují ruským produktům, a abychom propagovali Passwork na Západě, potřebujeme oficiální společnost v ‚normální‘ zemi.“

V květnu 2017 byla v Helsinkách zaregistrována Passwork Oy v třípatrové kancelářské budově.

Garakh a Pyankov každý získali počáteční podíl 35 %. Zbývajících 30 % převzal Viljakainenův rodinný soukromý investiční podnik, Aii Corporation Oy. Viljakainen řekl OCCRP, že se na provozu společnosti nepodílel a neměl znalosti o produktu poté, co byla finská firma v roce 2024 zlikvidována, ale popsal Passworkovy „kluky“ jako ty, kteří vytvořili a spravovali velmi kvalitní službu, kterou jeho vlastní společnosti stále používají.

Shed No.23

Ruská plnohodnotná invaze na Ukrajinu v únoru 2022 změnila obchodní klima v Evropě. Západní vlády, připomínající zákaz antivirového softwaru od ruské firmy Kaspersky Lab v USA v roce 2017 kvůli obavám z špionáže, se staly stále více obezřetnými vůči ruskému vyvinutému kódu.

V následujících měsících prošel Passwork řadou změn, které oddělily ruské spoluzakladatele od evropské firmy. Nejprve Pyankov a Garakh prodali své podíly v Passwork Oy Viljakainenově Aii Corporation Oy v květnu 2022. O dva měsíce později, v červenci, byla ve Spojených arabských emirátech zaregistrována nová firma s názvem Passwork FZ-LLC na „Shed No.23“ v Ras Al Khaimah Economic Zone.

Přestože jsou její akcionáři a skuteční vlastníci chráněni jurisdikčním firemním tajemstvím, obchodní registr Spojených arabských emirátů uvádí spoluzakladatele Pyankova jako manažera. Navíc veřejná data registru domén uvádějí Garakha jako oficiálního vlastníka a kontakt pro emirátskou doménu, passwork.ae.

Později toho roku, v listopadu 2022, Pyankov a Garakh založili ruskou registrovanou společnost, Passwork LLC ve svém rodném městě Archangelsk. Podle její webové stránky tato firma slouží desítkám ruských klientů, kteří byli sankcionováni Západem, včetně výrobců raket a vývojářů vesmírné technologie: Corporation for Special Purpose Space Systems „Kometa“, Special Design Bureau of the Moscow Power Engineering Institute (OKB MEI), AO NII Submikron, Gazprom Neft, Concern VKO „Almaz-Antey“, MMZ „Avangard“, NPO „Almaz“, United Shipbuilding Corporation (USC), State Governmental Scientific Testing Area of Aircraft Systems (GkNIPAS), United Aircraft Corporation (UAC).

Viljakainen, bývalý akcionář finské společnosti, řekl reportérům e-mailem, že po vypuknutí války na Ukrajině „okamžitě rozhodl (jako v podstatě všechny společnosti související s Ruskem ve Finsku/EU) přerušit tyto kontakty a obchodní vztahy,“ což bylo rozhodnutí, které podle něj „nemělo nic společného s Passworkem jako takovým.“ Válka a související sankce podle něj učinily obchod příliš obtížným.

Měsíc poté, co byla finská firma v červenci 2024 zlikvidována, byla ve Španělsku zaregistrována Passwork Europe S.L. ruským občanem Muntyanem, který slouží jako generální ředitel a jediný akcionář společnosti.

Když byl dotázán na toto znovuzrození, Viljakainen řekl, že nemá znalosti o španělském uspořádání nebo vztahu s firmou, a uvedl, že jeho chápání bylo, že „operace byly přesunuty do Spojených arabských emirátů.“ Nikdy nepracoval s ruským Passworkem, dodal.

Muntyan řekl, že Passwork Europe je zcela nezávislý na ruském podniku a že jakékoliv společné prvky – včetně určitých marketingových materiálů a dokumentace – jsou administrativními pozůstatky spíše než důkazem společného řízení.

Řekl, že spoluzakladatel Passworku Garakh „neřídí Passwork Europe S.L. a nemá přístup k systémům zákazníků,“ ale poskytoval „omezenou podporu přenosu znalostí souvisejících s produktem“ prostřednictvím Passworku se sídlem ve Spojených arabských emirátech během přechodného období evropské společnosti, které končí v srpnu 2026.

S odvoláním na dohodu o mlčenlivosti odmítl zveřejnit finanční a právní podrobnosti o tom, jak získal práva na software od společnosti se sídlem ve Spojených arabských emirátech.

„Povrchní“ rozdělení

Webové stránky ruského a evropského Passworku odhalují značné společné rysy, které odborníci na kybernetickou bezpečnost konzultovaní reportéry uvedli, že by mohly být pro evropské zákazníky důvodem k obavám, vzhledem k tomu, že ruský produkt by musel předložit svůj software k testování jako součást certifikace FSTEC.

Online, veřejně dostupné uživatelské příručky pro nejnovější verze ruských a evropských produktů jsou prakticky nerozlišitelné kromě jazyka, ve kterém jsou napsány, což naznačuje, že sdílejí téměř identické funkce produktu. Oba weby také ukazují, že posledních šest aktualizací softwaru bylo oznámeno na podobné časové ose s téměř identickými popisy nových funkcí a vydání.

Například 6. dubna 2026 doména passwork.ru oznámila vydání aktualizace softwaru verze 7.6. Následující den evropská webová stránka passwork.pro oznámila, že Passwork Pro verze 7.6 byla spuštěna se stejným popisem funkcí aktualizace.

Lukasz Olejnik, výzkumník v oblasti bezpečnosti a technologie ochrany soukromí, který přezkoumal ruské a evropské webové stránky Passworku na žádost OCCRP, řekl, že tyto a další překryvy vyvolávají otázky o síle firewallu mezi evropskými a ruskými obchody Passworku a že téma „si zaslouží přezkum.“

„Rozdělení EU/RU se dnes jeví technicky povrchní,“ řekl Olejnik, poukazujíc na 517 řádků, které charakterizoval jako „v podstatě identický“ instalační skript, což se týká sady pokynů, které automatizují nasazení, konfiguraci a nastavení softwaru na zařízení uživatele.

Když byl konfrontován se synchronizovanými časovými osami, generální ředitel Passworku Muntyan popřel, že by ruské a španělské společnosti aktivně koordinovaly aktualizace softwaru. Ale uznal, že protože sdílejí „společný původ kódu,“ je možné, že entita Passwork FZ-LLC ve Spojených arabských emirátech poskytuje aktualizace více stranám na podobné časové ose.

Tyto aktualizace jsou přezkoumávány technickým týmem Passwork Europe SL před jejich začleněním, dodal.

Van den Berg, odborník na bezpečnost z Clingendael Institute, poznamenal, že celková neprůhlednost kolem Passworku a jakékoliv spojení s softwarem jeho ruského protějšku by mělo vyvolat otázky pro klienty o tom, jakou úroveň nejistoty jsou ochotni akceptovat.

Obzvláště když se to týká něčeho tak citlivého jako „kde leží klíče k vašemu digitálnímu domovu,“ řekl.

Mechanismus, kterým jsou aktualizace tlačeny, je obzvláště znepokojující, protože kompromitované nebo škodlivé aktualizace softwaru zůstávají jednou z nejúčinnějších metod pro nepřátelské aktéry, jak proniknout do jinak zabezpečených sítí.

„Mechanismus aktualizace je nej elegantnějším a nejtěžším k detekci vektor útoku: jediná připravená aktualizace by mohla selektivně spustit výpis [hesel] v cílech považovaných za zajímavé a pak zcela zmizet bez stopy,“ řekl Donald Ortmann, německý výzkumník v oblasti bezpečnosti, který radí podnikům v oblasti kybernetické bezpečnosti a poskytuje školení o rizicích IT profesionálům.

Ortmann poukázal na příklad hacku americké softwarové společnosti SolarWinds v letech 2019-2020, jednoho z největších a nejvýznamnějších kybernetických útoků v historii, kde ruští operátoři údajně pronikli do systémů společnosti, aby vložili trojského koně do jednoho z jejích softwarových aktualizací.

Po aktualizaci, která byla tlačena klientům SolarWinds, měli útočníci přístup přes zadní vrátka k infikovaným počítačům, což kompromitovalo e-mailové systémy amerického ministerstva financí a ministerstva spravedlnosti.

Stejně jako v mnoha jiných zemích, včetně USA, má ruský stát pravomoc přinutit ty, kteří jsou pod jeho jurisdikcí, jako jsou majitelé ruského Passworku, spolupracovat s národními zpravodajskými agenturami při provádění takových zpravodajských operací.

„Vzhledem k širokým pravomocím ruských bezpečnostních služeb, pokud by se takové materiály nebo zdrojový kód staly předmětem zájmu FSB, existuje značné riziko, že státní orgány by k nim mohly získat přístup prostřednictvím mechanismů stanovených zákonem nebo prostřednictvím de facto mechanismů státního vlivu,“ řekl Oleksandr Frolov, partner mezinárodní právní firmy Kinstellar se sídlem v Kyjevě, který se specializuje na sankce a rizika.

Na svých webových stránkách ruský Passwork potvrdil, že „architektura produktu, kryptografické algoritmy, mechanismy řízení přístupu a protokolování prošly všemi fázemi podrobného ověřování pro shodu s požadavky FSTEC Order No. 76 z 2. června 2020.“

Klienti v temnotě

Muntyan řekl reportérům, že Passwork Europe SL nikdy nezatajil informace o původu softwaru Passwork nebo jeho původních vývojářích.

Jeho servery jsou umístěny v Evropě, řekl Muntyan a dodal, že okamžitě nerebrandoval produkt „tak, aby stávající zákazníci nebyli narušeni novým designem.“

Přesto pro několik evropských uživatelů softwaru přišel ruský příběh Passworku jako překvapení.

OCCRP kontaktovalo kolem 30 zjevných klientů, včetně těch inzerovaných na evropské webové stránce Passworku a LinkedIn.

Více než tucet potvrdilo, že alespoň někteří zaměstnanci jej používají, a všichni kromě jednoho z těchto klientů se zdáli být neznalí ruského původu Passworku nebo certifikace ruské verze produktu FSB a FSTEC.

Irský vládní úřad pro veřejné práce (OPW), agentura, která spravuje velkou část státního majetkového portfolia, uvedla, že je si vědoma pouze španělsky registrovaného Passworku a že nezjistila žádná bezpečnostní rizika při používání produktu.

Irská státní laboratoř, chemická laboratoř, která poskytuje služby řadě vládních oddělení a klientů veřejného sektoru, uvedla, že také nebyla obeznámena s propojením produktu s Ruskem a že nezjistila žádné bezpečnostní obavy. „Nicméně, tato žádost o tisk zdůraznila nové potenciální riziko, které je bráno vážně. Jako takové přezkoumáváme produkt a jakékoli související riziko nebo obavy,“ uvedla laboratoř.

Paradigm Brussels, belgická firma, která poskytuje IT služby regionální vládě Bruselu, uvedla, že si je vědoma, že tvůrce Passworku byl Rus, ale že se zdá, že struktury společnosti se „vyvinuly“ do bodu, kdy „tento historický odkaz nemá žádný funkční dopad.“

Osm dalších společností, které byly uvedeny jako klienti na evropské webové stránce Passworku a LinkedIn, popřelo používání softwaru, včetně italského energetického giganta Enel Group a německé poštovní služby Deutsche Post.

Muntyan popřel jakýkoli úmysl uvést potenciální klienty v omyl, říkajíc, že v některých případech je zákazníkem Passworku konkrétní společnost v rámci skupiny, spíše než samotná mateřská společnost.

Bert Hubert, bývalý vývojář softwaru, který sloužil v orgánu radícím nizozemským zpravodajským službám, zdůraznil, že důvěra je základem jakékoli služby správy hesel. „Nemůžete říct, ‚nedůvěřuji dodavateli, ale důvěřuji softwaru.‘ To není možnost,“ řekl.