スペインを拠点とし、欧州の公共機関や大学、民間組織で利用されているパスワード管理ツール「Passwork Europe」が、OCCRPによる調査を受けて厳しい目にさらされています。調査の結果、ロシア政府機関の認証を受けているロシアの同名企業と、技術的・歴史的なつながりがあることが明らかになりました。
調査によると、Passwork Europe S.L.とロシアのPasswork LLCは共通のコードベースに由来しており、リリーススケジュールがほぼ同期しているほか、ドキュメントの内容もよく似ており、デプロイ用スクリプトもほぼ同一であることが判明しました。
悪意のあるコードやデータ侵害、違法行為を示す証拠は見つかっていないものの、研究者らはソフトウェアの重複、不透明な所有構造、そしてアップデートのサプライチェーンが組み合わさっている点に懸念を示しています。これは、機密性の高い認証情報を扱う顧客にとって重大なリスクの問題を提起するものです。
DataManagement
PassworkはFSTEC認証を受けたロシア企業とアップデートを共有
Passwork Europeは自社を欧州企業としてアピールしており、製品を「Made in EU 2017」と称し、プライベートサーバーでの導入を前面に打ち出しています。
同社の最高経営責任者であり唯一の株主でもあるアレクサンダー・ムンティアン氏は、スペイン企業とロシアの同名企業との間に業務上の関係はないと述べています。
同氏は、顧客、サーバー、サポート体制、顧客データ、管理者権限、顧客環境のいずれも共有していないと強調しました。さらにムンティアン氏は、同プラットフォームがゼロ知識設計を採用しているため、暗号化と復号は顧客自身のインフラ上で行われ、Passwork Europeがボールト(保管庫)の内容にアクセスすることはできないと説明しています。
しかしOCCRPの調査により、この製品はロシアのアルハンゲリスクで生まれたものであり、共同創業者のイリヤ・ガラフ氏とアンドレイ・ピャンコフ氏が2014年にロシア向けのPasswork.ruと欧州向けのPasswork.proの両ドメインを登録していたことが判明しました。
その後、この事業はフィンランドに法人「Passwork Oy」を設立しましたが、ロシア人創業者らは2022年にこの持分から離脱しています。その後、UAE(アラブ首長国連邦)のラアス・アル・ハイマに「Passwork FZ-LLC」という企業が新たに登録され、ピャンコフ氏がマネージャーとして名を連ねました。公開されているドメイン登録記録によると、ガラフ氏がこのUAE企業のドメインの所有者かつ連絡窓口となっているとされています。
スペイン法人は2024年、フィンランド法人が清算手続きに入った直後に登録されました。ムンティアン氏はOCCRPに対し、2024年にUAE法人からPassworkソフトウェアの権利を取得したと説明しており、移行期間は2026年8月に完了する見込みだとしています。
Software
同氏によれば、UAE法人からは製品に関する限定的な知識移転支援を受けており、一方でPasswork Europeは製品に統合する前にアップデート内容を精査しているとのことです。
研究者らは、このアップデートのパイプラインを重大な懸念点として挙げています。ロシアと欧州、双方のウェブサイトはほぼ同じタイミングで直近6回のリリースを発表しており、その説明文も非常によく似ていることが多いといいます。
例えば、ロシアのPasswork LLCは2026年4月6日にバージョン7.67.67.6を発表し、その翌日にはPasswork Europeも同じバージョン7.67.67.6を発表しています。
セキュリティ研究者のルーカシュ・オレイニク氏は、インストーラースクリプトの中に実質的に同一の行が数百行にわたって存在することを指摘し、両製品の分離は「技術的には表面的なものにすぎない」と述べています。
ロシアのPasswork LLCは、ロシア連邦技術輸出管理局(FSTEC)および連邦保安庁(FSB)の認証を受けています。FSTEC認証では、ソフトウェアのアーキテクチャ、暗号制御、アクセス機構、ログ記録、そして「未申告の機能」の有無について詳細な評価が行われます。
専門家らはOCCRPに対し、ロシア版と欧州版の製品がコードやコンポーネントを共有し続けている場合、ロシアでのコンプライアンス審査中に付与されるソースコードへのアクセス権限が、両製品に共通する脆弱性を明らかにしてしまう可能性があると指摘しています。
クリンゲンダール研究所のバート・ファン・デン・ベルフ氏は、コードベースが同期していることで、両バリアントが同じ脆弱性にさらされる恐れがあると警告しました。ドイツのセキュリティ研究者ドナルド・オルトマン氏は、ソフトウェアのアップデートが価値の高いサプライチェーン攻撃のベクトルであると指摘し、攻撃者が信頼されたアップデートプロセスにバックドアを仕込んだSolarWinds事件との類似性を挙げています。
こうした事例は、暗号化設計そのものだけでなく、ソースコードやビルドシステム、署名鍵、アップデートインフラ、サードパーティによる開発アクセスを誰が管理しているかを見極めることの重要性を浮き彫りにしています。
OCCRPが取材した政府関連団体を含む欧州の顧客の多くは、ロシア版製品の存在やその国家認証について認識していなかったと述べているとされています。一部の組織は、自社が抱えるリスクの再評価に着手し始めています。
今回の調査結果は、顧客にとって、サプライヤーに対するデューデリジェンス、独立した第三者によるコードレビュー、ソフトウェア部品表(SBOM)の検証、再現可能なビルド、暗号による更新の署名、そして所有関係・開発体制・サポート関係の明確な開示の必要性を改めて浮き彫りにしています。
こうした懸念に対し、Passwork Europeは顧客データが顧客自身の管理するサーバー上に隔離された状態を保っていると主張しており、ロシアによるコードレビューが自動的にバックドアのリスクを生むという見方は否定しています。
DataManagement
とはいえ、今回の調査は、パスワード管理プラットフォームにおいてソフトウェアのサプライチェーン全体にわたる透明性が信頼を築くうえでいかに重要であるかという、より広範なサイバーセキュリティの原則を浮き彫りにしています。
脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNをSOCに統合する こちらから。
翻訳元: https://gbhackers.com/passwork-shares-codebase-and-updates-with-fstec-certified-russian-firm/
