Un’inchiesta pubblicata da Le Monde rivela che Passwork Europe S.L., società spagnola che fornisce software per la gestione delle password a enti pubblici e istituti di ricerca dell’Unione Europea, mantiene legami tecnologici e operativi con la Russia. La società si presenta come sviluppatore europeo indipendente, ma la versione del suo prodotto condivide l’origine del codice, aggiornamenti sincronizzati e documentazione identica con quella della russa Passwork LLC, azienda certificata dal Servizio federale per il controllo tecnico e delle esportazioni (FSTEK), organo del ministero della Difesa di Mosca.
La certificazione FSTEK prevede un’analisi approfondita del codice sorgente alla ricerca di vulnerabilità e funzionalità non dichiarate. Questo processo ha di fatto concesso allo Stato russo una conoscenza completa dell’architettura del software. Poiché le versioni europea e russa condividono la stessa base, qualsiasi debolezza individuata – o deliberatamente lasciata aperta – potrebbe essere sfruttata contro gli utenti europei, in un contesto già segnato da sistematici attacchi informatici russi contro infrastrutture critiche, governi e centri di ricerca dell’UE.
Aggiornamenti via Emirati Arabi: il rischio “SolarWinds”
Ulteriori elementi critici emergono dal meccanismo di distribuzione degli aggiornamenti. La versione europea riceve le nuove release attraverso una società opaca con sede negli Emirati Arabi Uniti, controllata da uno dei cofondatori russi. È uno schema che richiama gli attacchi alla catena di fornitura come quello di SolarWinds, in cui codice malevolo fu diffuso attraverso canali di aggiornamento legittimi. La sincronizzazione dei rilasci – come dimostrato per la versione 7.6 – conferma l’esistenza di un processo di sviluppo unitario, in cui la componente russa può introdurre modifiche senza che i clienti europei possano verificarne la provenienza o la sicurezza.
Enti pubblici all’oscuro e fiducia compromessa
La maggior parte dei clienti europei, inclusi enti governativi irlandesi e altre organizzazioni, non sarebbe stata informata dell’origine russa del prodotto. Questo silenzio mina la fiducia verso un fornitore di software critico per la protezione degli accessi a sistemi pubblici e dati sensibili. L’assenza di piena trasparenza viola le attese di sicurezza informatica in ambito istituzionale e può essere letta come una potenziale esposizione a rischi per la sovranità digitale dell’Unione.
Alla luce della guerra ibrida condotta da Mosca e del costante ricorso allo spionaggio cibernetico, la presenza di un prodotto con radici russe nelle catene di accesso alle reti governative europee rappresenta una minaccia concreta: possibili fughe di metadati, chiavi crittografiche e attacchi mirati contro singole organizzazioni. I clienti che hanno scelto Passwork Europe confidando nella sua identità europea si trovano ora ad affrontare la necessità di audit d’emergenza, la ricerca di soluzioni alternative e il danno reputazionale derivante dall’uso di uno strumento esposto a interferenze esterne.
