Španielska firma lákala úrady na značku „Made in EU“ a európske úrady verili, že používajú západný softvér. Mal však kód z Ruska a aktualizácie prúdili cez firmu v Emirátoch, preriekol sa probruselský portál eubrief o (zrazu) nežiadúcej globalizácii v ďalšom odhalení OCCRP.
Medzinárodný projekt hlásenia organizovaného zločinu a korupcie (Organized Crime and Corruption Reporting Project - OCCRP) je od roku 2007 jednou z najväčších investigatívnych žurnalistických organizácií na svete. Sídli v Amsterdame so zamestnancami na 6 kontinentoch. Poslaním nezávislej redakcie je v spolupráci s inými médiami publikovať príbehy vedúce k reálnym akciám. Naposledy povzbudili a inšpirovali správou o treste vyše 24 rokov vo väzení pre bývalého španielskeho ministra, ktorý v organizovanej skupine nevyvíjal opozičnú činnosť, ale počas pandémie COVID-19 systematicky prijímal úplatky výmenou za udeľovanie lukratívnych verejných zákaziek na rúška a iné zdravotnícke potreby:
Vo svojom júlovom odhalení OCCRP našiel európske štátne úrady, výskumné ústavy a univerzity, ktoré programu PASSWORK zverili jednu z najcitlivejších častí svojej digitálnej infraštruktúry softvéru. Prezentoval sa ako čisto európsky produkt z Fínska či Španielska, v skutočnosti však zdieľal časti kódu s ruskou verziou, za ktorou stáli ľudia a firmy napojené na ruský technologický sektor. Tá navyše prešla certifikáciou tamojších tajných služieb (FSB).
Nešlo o špionáž
Správca hesiel uchováva kľúče k celým interným sieťam, e-mailom či finančným systémom organizácií. Vyšetrovatelia pritom neodhalili špionáž, škodlivý kód ani krádež hesiel. Problém je inde: európske inštitúcie vrátane bruselských zverili svoje prístupové údaje programu bez toho, aby vedeli o jeho ruských technologických koreňoch a väzbách.
Zistenia investigatívnych novinárov však ukázali, že európska aj ruská verzia aplikácie Passwork zdieľajú rovnaký technologický základ, identické návody a naraz im vychádzajú aj aktualizácie.
Ruská verzia softvéru sa navyše na webe chváli tým, že získala certifikáty bezpečnosti od ruského ministerstva obrany aj tajnej služby FSB. Aby ich PASSWORK získal. museli vývojári odovzdať kompletný zdrojový kód.
„Ak ruská strana kód pozná a európska nie, sme vo veľkej nevýhode. Kto pozná zdrojový kód, môže v ňom cielene hľadať chyby a spôsoby, ako zneužiť existujúce funkcie softvéru,“ vysvetlil slovenský odborník na kybernetickú bezpečnosť, ktorý pre citlivosť témy požiadal o anonymitu.
Štátne úrady v ohrození
Najväčšie riziko spočíva podľa expertov v tom, ako sa softvér dostáva k zákazníkom. Ak by útočníci ovládli cestu, ktorou prúdia aktualizácie, škodlivý kód by poslali priamo do štátnych úradov pod hlavičkou oficiálneho balíčka.
Ruské tajné služby, ktoré oficiálne zdrojový kód získali navyše môžu mesiace ticho hľadať slabiny softvéru bez toho, aby o nich výrobca či európski klienti vôbec tušili.
Vyše 10 ohrozených - bez SR
Vyšetrovanie OCCRP z 30 oslovených potvrdilo používanie softvéru v tucte európskych verejných inštitúcií ako IT agentúra Paradigm Brussels zabezpečujúca digitálnu infraštruktúru pre bruselský región či Technická univerzita vo východonemeckých Drážďanoch. Softvér používal aj írsky Úrad verejných prác (OPW), ktorý spravuje majetok štátu a vládne budovy, či Štátne chemické laboratórium v Írsku (State Laboratory) poskytujúce znalostné služby pre ministerstvá.
Slovenské úrady sa v zisteniach OCCRP nespomínajú.
Výrobca prepojenie odmieta
Riaditeľ španielskej spoločnosti Muntyan pre OCCRP zdôraznil, že európska a ruská firma nepôsobia spoločne, nezdieľajú servery, klientske dáta ani prístupy do systémov. Jeho tvrdenie však ignoruje fakt, že aktualizácie idú cez neprehľadnú firmu v SAE spojenú s ruským spoluzakladateľom.
OCCRP vo svojej správe prízvukuje, že nenašlo žiadny dôkaz o škodlivom kóde v európskej verzii ani o úniku dát. Hlavným problémom tak zostáva netransparentnosť dodávateľa softvéru, ktorý má chrániť citlivú infraštruktúru štátu ako tomu je aj v aktuálnom prípade 2 radarov, ktoré zakúpilo slovenské ministerstvo vnútra, za čo opozícia teraz žiada odvolanie ministra.
Skutočné ohrozenie však predstavujú progresívne IT novinky priamo z Bruselu:
Keď je Rusko v Bratislave, vreskot počuť. A čo keď bolo v Bruseli?
O to zaujímavejšie pôsobí slovenský "škandál" s dopravnými radarovými kamerami. Progresívne Slovensko hlasno upozorňovalo, že zariadenia nasadzované ministerstvom vnútra môžu mať ruský pôvod a predstavovať bezpečnostné riziko. Analýza NBÚ napokon potvrdila ruské komponenty v dvoch testovaných zariadeniach a minister Matúš Šutaj Eštok oznámil ukončenie spolupráce s dodávateľom.
Lenže prípad Passwork ukazuje veľmi podobný problém priamo v západnej Európe. Softvér prezentovaný ako európsky používali verejné inštitúcie vrátane úradov a univerzít, pričom vyšetrovanie OCCRP odhalilo jeho spoločný technologický pôvod s ruskou verziou a pokračujúci prísun aktualizácií cez firmu v Spojených arabských emirátoch. Investigatívci pritom nenašli dôkaz o špionáži, škodlivom kóde ani úniku dát – problémom bola predovšetkým netransparentnosť pôvodu a dodávateľského reťazca.
A práve tu sa núka nepríjemná otázka. Ak sú ruské technologické väzby pri dvoch radaroch na Slovensku dôvodom na ostré politické útoky a reči o ohrození bezpečnosti, prečo sme rovnaký vreskot nepočuli po odhalení ruských koreňov softvéru, ktorému citlivé heslá zverili európske štátne inštitúcie? Vo verejne dostupných stanoviskách Progresívneho Slovenska sme k prípadu Passwork nenašli reakciu. Ruský komponent je zrejme politicky výbušný najmä vtedy, keď sa dá namieriť proti ministrovi v Bratislave. Keď sa podobná otázka týka inštitúcií západnej Európy, rozhorčenie je podstatne tichšie.