Популярный в Европе менеджер паролей оказался связан с аналогичным сервисом в России

Испанский менеджер паролей Passwork Europe SL, которым пользуется ряд европейских организаций, разработали два россиянина из некой компании в ОАЭ. Это создает критическую уязвимость для клиентов сервиса в Европе, говорится в расследовании OCCRP.

Связь с Россией. Изначально сервис Passwork, чье программное обеспечение позволяет хранить цифровые ключи для паролей на своем программном обеспечении, появился как стартап жителей Архангельска Ильи Гараха и Андрея Пьянкова. В 2010-х они выигрывали грант фонда «Сколково», где познакомились с финским предпринимателем Пеккой Вильякайненом.

После начала полномасштабного вторжения в Украину соучредители Passwork Гарах и Пьянков продали свои акции компании Вильякайнена. В июле 2022 года в экономической зоне Рас-эль-Хайма неустановленные лица зарегистрировали компанию Passwork FZ-LLC, где Пьянков указан как управляющий, а Гарах — как официальный владелец эмиратского домена фирмы.

Испанский менеджер паролей Passwork Europe SL учредил предприниматель Александр Мунтян. Он выкупил права на программное обеспечение Passwork в 2024 году. В разговоре с OCCRP он подтвердил, что совершил сделку с компанией из ОАЭ, но не сказал, кому принадлежит эта фирма.

Уязвимость. За два года до сделки с Мунтяном Гарах и Пьянков зарегистрировали компанию ООО «Пассворк» в Архангельске. Среди клиентов фирмы — «Газпром Нефть» и подсанкционные военные предприятия.

Сайт «Пассворка» практически идентичен испанскому менеджеру паролей, а руководства пользователя российской и европейской версий неотличимы друг от друга. Технические эксперты также обнаружили общую исходную кодовую базу у обоих сервисов.

На сайте российского «Пассворка» указано, что компания получила сертификацию ФСБ и Федеральной службой по техническому и экспортному контролю (ФСТЭК), подотчетной Минобороны. При этом для получения сертификации ФСТЭК фирмам необходимо передать ведомству весь исходный код своих сервисов.

Это значит, что в распоряжении у Минобороны оказалась информация о программном обеспечении российского и европейского Passwork, а также уязвимостях в их коде, предполагают эксперты в кибербезопасности.

Клиенты. Около 30 европейских компаний и организаций не знали о связи испанского Passwork с Россией. Пока они не обнаружили угроз безопасности в продукте.

По данным OCCRP, менеджером паролей пользуются правительственные агентства в Ирландии, почтовая служба и университеты в Германии, а также IT-компания, предоставляющая услуги региональному правительству Брюсселя.