Un gestionnaire de mots de passe espagnol utilisé par les agences gouvernementales européennespartage des liens techniques profondsavec une entreprise russe. Cet arrangement a soulevé de sérieuses préoccupations en matière de sécurité parmi les experts.
La société Passwork Europe S.L. se présente comme une entreprise entièrement européenne. Cependant, une enquête a révélé des liens importants avec un homologue russe.
Passwork vend des logiciels qui aident les organisations à stocker et à gérer leurs mots de passe. Ses clients comprennent des agences gouvernementales irlandaises et l'Université de technologie de Dresde. L'entreprise met fortement l'accent sur son identité européenne.
Son site Web affiche un badge reflétant sa création en Europe et la société a également publié des lignes directrices indiquant qu'elle n'a aucun lien avec des entités russes ou américaines. Mais l’enquête a révélé que cette image publique ne correspond pas à la réalité.
Deux cofondateurs russes, Andrey Pyankov et Ilya Garakh, ont initialement développé le gestionnaire de mots de passe. Ils restent impliqués à travers une société opaque basée aux Émirats arabes unis.
Cette entreprise émirienne fournit des mises à jour logicielles à l'entreprise espagnole. Cependant, les propriétaires de la société émirienne n’ont reçu aucune information publique. Par conséquent, on ne sait pas clairement qui contrôle le pipeline de mise à jour.
En outre, les cofondateurs russes possèdent également une société distincte appelée Passwork LLC en Russie. Cette firme russe utilise le même logo que la version espagnole. Il fait la promotion de clients parmi lesquels figurent des fabricants de missiles russes sanctionnés.
L'entreprise russe détient des certifications délivrées par des agences d'État. Il s’agit notamment du Service fédéral de contrôle technique et des exportations, ou FSTEC, et cette agence relève du ministère russe de la Défense. L’entreprise est également certifiée par le FSB, la principale agence de contre-espionnage russe.
L'obtention de ces certifications nécessite une révision approfondie du code source. Le but est de rechercher des vulnérabilités ou des capacités non déclarées ; en termes simples, ils recherchent des faiblesses ou des portes dérobées cachées. Les experts préviennent que ce processus pourrait fournir à Moscou des informations précieuses. Si les logiciels russes et européens partagent le même code, les risques sont évidents.
Bart van den Berg est expert en sécurité à l'Institut Clingendael. Il a décrit ces scénarios comme des « risques sérieux ». Il a déclaré que l’accès au code source pourrait donner à l’État russe une connaissance approfondie des vulnérabilités. Cela pourrait même leur permettre d’ajouter volontairement des éléments nocifs. Même si les journalistes n’ont trouvé aucune preuve de code malveillant, la situation reste préoccupante.
Préoccupations des experts et problèmes de transparence
Les experts en cybersécurité affirment que la transparence est essentielle dans ce domaine. Les gestionnaires de mots de passe détiennent les clés des systèmes numériques d'une organisation. La confiance n’est donc pas qu’une simple revendication marketing.
Alessandra Chirico est une experte en réglementation européenne et en politique de cybersécurité. Elle a déclaré que plus le récit de confiance est fort, plus le devoir de transparence est grand ; de plus, le manque d’ouverture de l’entreprise déclenche des signaux d’alarme.
Aucun des clients européens contactés par les journalistes n’était au courant des liens avec la Russie. Un seul client connaissait l'ancien propriétaire russe du produit. Cela montre un manque évident de communication.
De son côté, le PDG de l'entreprise, Alexander Muntyan, a nié toute relation avec l'entreprise russe. Il a déclaré qu'ils ne partageaient pas de clients, de serveurs ou de systèmes de support. Il a également déclaré que les données des clients restent en sécurité sur des serveurs privés.
L'enquête a établi qu'il existait des similitudes entre les deux produits. Il a noté que les deux produits sont dérivés de la même base de code principale. Les produits ont également reçu des mises à jour via le logiciel à intervalles similaires.
De telles similitudes suggèrent que les produits peuvent avoir des liens les uns avec les autres. Van den Berg a déclaré que si deux produits ont le même code, l'absence de défauts dans l'un des produits ne garantit pas la protection contre les défauts de l'autre produit. Cela signifie qu’ils pourraient poser des problèmes plus dangereux pour les utilisateurs en Europe.
Peu de temps après que les journalistes ont contacté Muntyan, la société a retiré ses directives en matière d'intelligence artificielle. Les lignes directrices mentionnaient qu'il n'y avait aucun lien avec la Russie, mais la suppression met en doute la transparence de l'entreprise.
Muntyan a également déclaré avoir acquis les droits logiciels de la société émirienne il y a deux ans. Il n’a cependant pas été en mesure de commenter la propriété de l’entreprise. Il a indiqué qu'il acquerrait complètement la marque après le mois d'août de cette année.
Les origines et le déplacement vers l’Europe
Passwork a débuté en tant que startup à Arkhangelsk, une ville portuaire russe proche de l'Arctique. Le cofondateur Pyankov a enregistré le site Web russe en juin 2014. Dès le lendemain, il a enregistré le domaine européen à la même adresse. Cela montre que l’opération européenne s’est développée directement à partir des racines russes.
L’entreprise a d’abord été confrontée au scepticisme en Russie. Certains se demandaient si elle était indépendante. Dans un article de blog, l’administrateur a plaisanté sur son nom populaire de « projet de vol de mots de passe de Poutine ». De nombreuses personnes l’ont également qualifié de département indépendant du FSB. Cela montre les problèmes de confiance auxquels ils ont été confrontés en Russie même.
La fortune de l’entreprise a changé en 2017, lorsqu’elle a remporté un concours de startup organisé par la Fondation Skolkovo, une organisation russe soutenue par l’État.
Cependant, cette fondation a ensuite été sanctionnée par les États-Unis. Grâce à ce concours, les co-fondateurs ont rencontré un entrepreneur finlandais nommé Pekka Viljakainen, il les a aidés à créer une entreprise européenne.
La raison de ce déménagement était d’ordre pratique. La réglementation russe ne permettait pas le traitement simultané des données des clients russes et européens. Les opérateurs doivent donc déplacer leurs clients occidentaux hors de Russie.
L’administrateur de l’entreprise l’a admis dans un article de blog. Il a ajouté que les gens ne faisaient pas vraiment confiance aux produits russes. Il leur fallait donc une entreprise officielle dans un pays « normal ».
Le défi de parvenir à une véritable souveraineté numérique européenne est également évident dansLa dépendance du portefeuille d’identité numérique de l’UE à l’égard d’Apple et de Google.
En mai 2017, Passwork Oy a finalisé son enregistrement en Finlande. Les cofondateurs détenaient chacun une part de 35 % et la société de Viljakainen détenait les 30 % restants. Viljakainen a déclaré qu'il n'était pas impliqué dans les opérations.
Il n'avait également aucune connaissance du produit après la fermeture de l'entreprise finlandaise il y a deux ans. Il a toutefois décrit les fondateurs comme ayant rendu un service de grande qualité.