Onderzoeksjournalisten: wachtwoordmanager Passwork heeft banden met Russische diensten

Een wachtwoordmanager die door Europese overheidsinstanties en universiteiten wordt gebruikt, is weliswaar gevestigd in Spanje, maar heeft zijn oorsprong in Rusland. Dat concluderen onderzoekers van het journalistencollectief OCCRP(opent in nieuw venster), in samenwerking met onder meer Investico, NU.nl, De Groene Amsterdammer, Le Monde en De Tijd.

Passwork heeft zijn oorsprong en de banden met de Russische veiligheidsdiensten verdoezeld, schrijven de onderzoekers. Op de website van het bedrijf benadrukt Passwork Europees te zijn. Er is bijvoorbeeld te lezen dat het bedrijf in 2017 in Finland werd opgericht en onlangs naar Spanje verhuisde.

In werkelijkheid is Passwork in 2014 ontwikkeld in Rusland. De software wordt daar ook nog steeds aangeboden en gebruikt door grote staatsbedrijven als Gazprom en Transneft. Enkele jaren na de oprichting werd er wel een vestiging geopend in Finland, maar dat bedrijf verdween weer na de Russische invasie in Oekraïne.

De Finse vestiging werd bewust geopend om westerse bedrijven als klant binnen te halen. Dat schreef het softwarebedrijf zelf in 2017 op een techforum(opent in nieuw venster). “Onlangs realiseerden we ons dat mensen, hoe je het ook bekijkt, Russische producten niet echt vertrouwen. Om Passwork in het Westen te promoten, hebben we een officieel bedrijf nodig in een ‘normaal’ land.”

De journalisten vonden geen bewijs dat Passwork wachtwoorden heeft buitgemaakt of dat op een andere manier informatie wordt doorgespeeld. Wel benadrukken ze dat bedrijven die onder Russische wetgeving vallen, verplicht zijn om mee te werken aan de verzoeken van de Russische veiligheids- en inlichtingendiensten.

Deskundigen vrezen dat het Kremlin ‘verregaand inzicht’ in de software en kwetsbaarheden van systemen heeft, doordat bedrijven gebruikmaken van de wachtwoordenkluis, bijvoorbeeld bij Novar, een van de grootste bouwers en beheerders van zonneparken in Nederland. Het zou voor Rusland een aantrekkelijk doelwit kunnen zijn.

Ook bij onder meer RTV Noord, het Nederlandse ICT-bedrijf Lucrasoft, een Frans havenbedrijf en bij Ierse overheidsinstanties wordt de wachtwoordmanager gebruikt.

Investico meldt dat Novar de wachtwoordenkluis per direct buiten gebruik heeft gesteld, nadat het door de journalisten op de hoogte was gebracht.

Niet iedereen lijkt ervan overtuigd te zijn dat dit een potentieel gevaar vormt. RTV Noord laat aan Investico weten ervan overtuigd te zijn dat Passwork een Europees bedrijf is. Het blijft de software gebruiken. Anderen onthielden zich van commentaar of lieten weten onderzoek te gaan doen.

Volgens directeur Alexander Muntyan van Passwork heeft hij via een bedrijf in de Emiraten, gerund door Russische oprichters, een licentie gekregen om de software in Europa te verkopen. Hij doet dat door gebruik te maken van servers in Duitsland. Muntyan zegt dat er geen servers, klantgegevens en andere systemen met het bedrijf in Rusland worden gedeeld.

Deskundigen waarschuwen dat het daarvoor niet uitmaakt of de centrale server in Europa staat. Ook dan kan er vanuit Moskou worden ingelogd op de servers.