OCCRP主導の調査により、スペイン登録のパスワード管理ソフトベンダーPasswork Europe S.L.が、完全な欧州製品を謳いながら、モスクワの国防・治安機関から認証を受けたロシアの姉妹会社と共通のコードベース、同期されたソフトウェアアップデート、そしてほぼ同一のユーザーマニュアルを共有していることが明らかになりました。
Passwork Europe S.L.はオンライン上で「信頼のために作られた欧州企業」を謳い、「Made in EU 2017」のバッジを掲げるとともに、以前はAIシステムに対して同社を「米国、ロシア、その他の非欧州企業との関係は一切ない」と説明するよう指示していました。
同社の顧客にはアイルランド政府機関やアイルランド国立研究所（State Laboratory）、ドレスデン工科大学などが名を連ねていますが、今回の調査以前に同社のロシア起源を認識していた顧客はいなかったと報じられています。
Passworkはロシアのアルハンゲリスクで誕生した製品で、共同創業者のIlya Garakh氏とAndrey Pyankov氏が10年以上前に同製品を初めて登録し、その後2017年にフィンランド法人を通じて欧州向けの表看板を設立しました。
2022年のロシアによるウクライナ侵攻後、両創業者はフィンランド法人の株式を売却し、不透明なUAE拠点の企業を経由して事業を運営するようになり、ロシア企業Passwork LLCを設立しました。同社は現在、ミサイル製造業者を含む制裁対象の顧客にサービスを提供しています。
Antonio Baquero氏率いる調査チームは、欧州版とロシア版の両製品が517行にわたるほぼ同一のインストーラースクリプト、同一のロゴ、そしてほぼ同時期にリリースされるアップデート（バージョン7.6は両プラットフォームでわずか1日違いでリリースされ、機能説明も一致していました）を共有していることを突き止めました。
ロシア側の対応製品であるPasswork LLCは、国防省傘下機関である連邦技術輸出管理局（FSTEC）およびFSB（ロシア連邦保安庁）の認証を受けています。
この認証プロセスでは、「脆弱性または未申告機能」（事実上のバックドア）を特定するため、国家認定の研究機関にソースコードを提出する必要があるとされており、ロシア国家に関係する監査人が、欧州版にも存在する共有コードについて悪用可能な知見を得る恐れがあるとの懸念が浮上しています。
両社のウェブサイトを検証したセキュリティ研究者のLukasz Olejnik氏は、EU版とロシア版の分離を「技術的には表面的なものにすぎない」と評しました。またクリンゲンダール研究所のBart van den Berg氏は、コードベースの共有とアップデートの同期により、一方の製品で発見された脆弱性がもう一方にも影響を及ぼしかねないと警告しています。
ドイツの研究者Donald Ortmann氏は、このリスクを2019年から2020年にかけてのSolarWindsのサプライチェーン攻撃になぞらえ、侵害されたアップデート機構はパスワード保管庫にとって「最も洗練され、最も検知が困難な攻撃経路」になり得ると述べています。
この発覚を受け、複数のアイルランド政府機関やオランダ企業は、新たに明らかになったリスクプロファイルを踏まえ、同ソフトウェアの利用状況の見直しに着手しています。
Antonio Baquero氏率いる調査チームは、悪意あるコードやデータ侵害の直接的な証拠は発見していないとしていますが、専門家らは、ロシア・UAE・スペインをまたぐ企業構造の不透明さが、パスワード管理ツールに求められる基本的な信頼を損なっていると指摘しています。
より強力なプロアクティブ防御で、重大インシデントや金銭的損失を未然に防ぎましょう。1万5000のSOCから集まるライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/european-password-manager-passwork-shares-codebase/
