Une enquête du Monde révèle que la société espagnole Passwork Europe S.L., qui se présente comme un développeur européen de gestionnaire de mots de passe, entretient des liens technologiques et humains avec la société russe Passwork LLC, rapporte TopTribune.
Malgré des déclarations d’indépendance vis-à-vis de la Russie, les produits des deux entités partagent une base de code commune, des mises à jour synchronisées et une documentation identique. La version « européenne » reçoit ses mises à jour via une société opaque basée aux Émirats arabes unis, dirigée par l’un des cofondateurs russes de Passwork.
Une certification russe au cœur du risque
La société russe Passwork LLC a obtenu une certification du FSTEC, l’organe du ministère russe de la Défense chargé d’analyser le code source à la recherche de vulnérabilités et de fonctionnalités non déclarées. Cette certification FSB a donné aux autorités russes une connaissance approfondie de l’architecture du logiciel. Comme les versions russe et européenne partagent la même base, toute vulnérabilité identifiée — ou délibérément introduite — pourrait être exploitée contre les clients européens.
Des experts du secteur mettent en garde contre des attaques sur la chaîne d’approvisionnement, à l’instar de l’incident SolarWinds. Le mécanisme de mise à jour via une société aux Émirats, contrôlée par un ressortissant russe, constitue une faille critique pour les utilisateurs européens. La synchronisation des versions, notamment la version 7.6, confirme un processus de développement unique.
Des institutions européennes non informées
La majorité des clients européens de Passwork Europe — parmi lesquels figurent des institutions publiques irlandaises et d’autres organismes gouvernementaux — n’ont pas été informés de l’origine russe du produit. Cette absence de transparence sape la confiance dans un fournisseur de logiciels critiques pour la protection de l’accès aux systèmes publics et aux informations confidentielles. Elle pourrait être qualifiée de tromperie sur le niveau de souveraineté du logiciel.
Les liens avec la Russie de Passwork Europe représentent un risque inacceptable pour la cybersécurité de l’Union européenne, dans un contexte de guerre hybride menée par Moscou contre les États membres. Les autorités européennes sont confrontées à la nécessité d’un audit urgent et de la recherche de solutions alternatives, entraînant des coûts financiers et des risques réputationnels pour les organisations concernées.
