Meerdere Nederlandse organisaties hebben onbewust een wachtwoordmanager gebruikt met verborgen Russische banden, waardoor potentieel gevoelige bedrijfsgegevens in gevaar zouden kunnen zijn. Een gezamenlijk onderzoek van OCCRP, Investico, De Groene Amsterdammer en NU.nl onthulde dat Passwork, dat zich presenteert als een Europees bedrijf, in werkelijkheid in Rusland is ontwikkeld en een band heeft met een bedrijf dat gecertificeerd is door de FSB, de Russische veiligheidsdienst. De onthulling heeft geleid tot bezorgdheid over de nationale veiligheid en de integriteit van de data van de betrokken Nederlandse organisaties.

Wat is er gebeurd?

Een internationaal journalistiek onderzoek heeft blootgelegd dat de wachtwoordmanager Passwork, die door diverse Nederlandse bedrijven en instellingen wordt gebruikt, een verborgen Russische oorsprong heeft. Passwork biedt een digitale kluis voor het opslaan van bedrijfsgeheimen en wachtwoorden, en presenteert zich als een Europees bedrijf gevestigd in Spanje. De onderzoekers ontdekten echter dat de software al in 2014 in Rusland werd ontwikkeld en dat een zusterbedrijf in Rusland is gecertificeerd door de FSB, de Russische veiligheidsdienst.

Deze certificering vereist dat de broncode van de software wordt ingezien door door de staat goedgekeurde auditors, wat de zorgen over de veiligheid en privacy van de Nederlandse organisaties die Passwork gebruiken, aanzienlijk vergroot. Novar, een van de grootste bouwers van zonneparken in Nederland, heeft direct na de onthulling het gebruik van de wachtwoordmanager stopgezet en het incident gemeld bij het Nationaal Cyber Security Centrum (NCSC). Andere organisaties, zoals regionale omroep RTV Noord, hebben besloten om Passwork voorlopig te blijven gebruiken.

Het onderzoek heeft geen bewijs gevonden dat er daadwerkelijk wachtwoorden zijn gestolen of data zijn gecompromitteerd. Desondanks roept de onthulling vragen op over de veiligheidsprotocollen van de Nederlandse organisaties en de risico's verbonden aan het gebruik van software met onbekende of potentieel onbetrouwbare oorsprong. De kwestie benadrukt de toenemende complexiteit van de digitale supply chain en de noodzaak voor bedrijven om de herkomst van hun software grondig te onderzoeken.

Achtergrond en context

Passwork positioneert zich als een veilige en betrouwbare oplossing voor wachtwoordbeheer, en richt zich op bedrijven die behoefte hebben aan een gecentraliseerde en veilige manier om hun digitale credentials te beheren. De software is populair vanwege de gebruiksvriendelijkheid en de mogelijkheid om wachtwoorden te synchroniseren tussen verschillende apparaten. De presentatie van Passwork als een Europees bedrijf, in plaats van een Russische oorsprong te vermelden, heeft mogelijk bijgedragen aan de acceptatie ervan door Nederlandse organisaties.

De certificering door de FSB is een cruciaal element in deze zaak. In Rusland vereist certificering door de FSB dat de broncode van software wordt ingezien door door de staat goedgekeurde auditors. Dit geeft de Russische overheid potentieel toegang tot de code en de mogelijkheid om deze te analyseren of zelfs te manipuleren. De onthulling van deze banden roept vragen op over de onafhankelijkheid en veiligheid van de software, en de risico's die verbonden zijn aan het gebruik ervan in een omgeving waar nationale veiligheid een rol speelt.

De zaak past in een bredere trend van toenemende bezorgdheid over de veiligheid van software en de afhankelijkheid van buitenlandse leveranciers. De recente geopolitieke spanningen, met name de oorlog in Oekraïne, hebben de aandacht gevestigd op de risico's van het gebruik van software die afkomstig is uit landen met een potentieel antagonistische relatie met Nederland. Dit heeft geleid tot een heroverweging van de beveiligingsprotocollen en een verhoogde aandacht voor de herkomst van software.

Reacties en gevolgen

Novar, een van de grootste bouwers van zonneparken in Nederland, heeft direct na de onthulling het gebruik van Passwork stopgezet en het incident gemeld bij het Nationaal Cyber Security Centrum (NCSC). Deze snelle reactie toont de ernst waarmee de organisatie de situatie beschouwt en de bereidheid om actie te ondernemen om de risico’s te minimaliseren. Het NCSC zal waarschijnlijk een onderzoek instellen om de impact van het gebruik van Passwork te beoordelen en aanbevelingen te doen voor verdere maatregelen.

RTV Noord heeft besloten om Passwork voorlopig te blijven gebruiken, ondanks de onthulling. Deze beslissing is waarschijnlijk gebaseerd op een afweging van de risico’s en de kosten van het overstappen op een andere wachtwoordmanager. Echter, de beslissing roept vragen op over de risicobereidheid van de organisatie en de mogelijkheid om de veiligheid van de data te waarborgen. Andere Nederlandse organisaties die Passwork gebruiken, worden nu waarschijnlijk geconfronteerd met een vergelijkbare afweging.

De onthulling heeft geleid tot een groter bewustzijn van de risico's verbonden aan het gebruik van software met onbekende oorsprong. Het is waarschijnlijk dat Nederlandse organisaties hun beveiligingsprotocollen zullen aanscherpen en een strengere due diligence zullen uitvoeren bij de selectie van softwareleveranciers. De kwestie kan ook leiden tot een herziening van de regelgeving met betrekking tot de veiligheid van software en de bescherming van gevoelige data.