'Europese' wachtwoordkluis blijkt Russisch: 'Ze kunnen vanuit Moskou inloggen'

In dit artikel:

Het wachtwoordbeheerprogramma Passwork lijkt Europees, maar blijkt in werkelijkheid uit Rusland te komen en heeft volgens onderzoek van OCCRP en partnerredacties jarenlange gebruikers in Europa, ook in vitale sectoren. De software, een zogeheten wachtwoordkluis voor bedrijven, werd door Passwork gepresenteerd als made in EU en compliant met Europese privacy- en veiligheidsregels, terwijl het bedrijf in 2014 in Rusland werd opgericht en via omwegen werkte met brievenbusconstructies in onder meer Finland, Spanje en de Verenigde Arabische Emiraten.

Onder de gebruikers waren volgens het onderzoek een grote Nederlandse beheerder van zonneparken, een Frans havenbedrijf, Ierse overheidsinstanties, een Duitse provincie, de Universiteit van Zürich, RTV Noord en ict-bedrijf Lucrasoft. In Nederland stopte Novar, beheerder van zonneparken, direct met de software nadat het op de Russische banden was gewezen en verving het de wachtwoorden. Ook meldde het bedrijf het incident bij het Nationaal Cyber Security Centrum.

Cybersecurityexperts waarschuwen dat het riskant is om zulke gevoelige toegangssleutels toe te vertrouwen aan een partij met nauwe Russische banden, zeker omdat de software contact houdt met centrale servers voor bijvoorbeeld licentiecontrole. Er is geen bewijs gevonden voor een achterdeur of dat wachtwoorden zijn buitgemaakt, maar deskundigen stellen dat Rusland via de software mogelijk wel inzicht in kwetsbaarheden kan hebben. Dat is volgens hen extra zorgelijk omdat Passwork op Russische klantenlijsten ook staatsbedrijven en defensiebedrijven noemt, en omdat de Europese en Russische versies sterk op elkaar lijken.