Dit blijkt uit onderzoek dat Investico in samenwerking met NU.nl en De Groene Amsterdammer heeft uitgevoerd. Ook de Belgische krant De Tijd was bij het onderzoek betrokken. Het onderzoek richtte zich op Passwork, een wachtwoordbeheerder die beweert Europees te zijn en in Spanje is gevestigd.

In werkelijkheid lijkt Passwork van Russische oorsprong te zijn. Het bedrijf werd in 2014 in Rusland opgericht, maar na de Russische invasie van Oekraïne werd de bedrijfsvoering verplaatst naar een dekmantelbedrijf in Spanje. Het bedrijf is actief in Rusland en wordt gebruikt door diverse instanties, waaronder de FSB en het ministerie van Defensie.

Een onderzoeker van het Clingendael Instituut stelt dat Rusland daardoor over aanzienlijke kennis van de software beschikt. Om in Rusland een vergunning te verkrijgen voor gebruik in de militaire sector, moeten bedrijven uitgebreide informatie over hun activiteiten verstrekken.

Geen aanwijzingen voor misbruik

Er zijn geen aanwijzingen dat Passwork is gehackt of dat Rusland wachtwoorden of andere informatie in handen heeft gekregen. Toch waarschuwen talrijke specialisten voor de gevaren. Wachtwoorden zouden mogelijk kunnen worden gestolen, aangezien de ontwikkelaars een achterdeur zouden moeten inbouwen. Zelfs als klanten de dienst zelf beheren, heeft de software nog steeds een verbinding met de servers van Passwork nodig.

Ook de exacte omvang van Passwork is onduidelijk. Tijdens het onderzoek kwam in de media naar voren dat onder meer een Nederlandse exploitant van een zonnepark de software gebruikt. Verder bleek dat de software ook wordt gebruikt door Franse havens, evenals door overheidsorganisaties en universiteiten in Ierland en Duitsland.