Europa cumpără european, Rusia scrie codul!

În războiul cibernetic, frontierele nu mai sunt trasate pe hartă, ci în codul sursă, iar încrederea poate deveni cea mai periculoasă vulnerabilitate a unei infrastructuri critice

Parola europeană cu accent rusesc: cazul ”Passwork” și geopolitica încrederii digitale

Atacurile cibernetice atribuite Rusiei care au vizat în ultimii ani instituții și infrastructuri din România nu sunt episoade izolate, ci fac parte din aceeași arhitectură de război digital pe care Franța a documentat-o în cazul Centrului 16 al FSB și al Unității 61240.

Există o naivitate structurală în felul în care Europa continentală își înțelege suveranitatea tehnologică: o măsoară în sediul social, nu în codul sursă. Cazul Passwork, expus de Le Monde într-o investigație coordonată de Organized Crime and Corruption Reporting Project, ilustrează perfect această capcană. Compania se prezintă drept „organizație europeană cu sediul în Spania”, construită „fără finanțare externă” — un discurs perfect calibrat pentru un moment în care tot mai multe companii occidentale, obosite de dependența de Big Tech-ul american, caută alternative „made in Europe”. Realitatea, documentată prin registre comerciale și declarații ale propriilor fondatori, este însă mai puțin liniștitoare: software-ul a fost dezvoltat la Arhanghelsk de doi antreprenori ruși, Ilya Garakh și Andrei Piankov, iar compania-soră din Rusia operează cu licențe emise de FSB și de serviciul federal de control al exporturilor, aflat în subordinea Ministerului Apărării de la Moscova.

Structura corporativă — Arhanghelsk, apoi Helsinki prin intermediul investitorului finlandez Pekka Viljakainen (decorat de Vladimir Putin cu Medalia Prieteniei), apoi Emiratele Arabe Unite și, în cele din urmă, Madrid — pare mai puțin rezultatul unei expansiuni internaționale și mai degrabă un exercițiu clasic de estompare a originii geografice a unui produs tehnologic sensibil. Faptul că CEO-ul entității spaniole recunoaște, în răspunsul oferit jurnaliștilor, că software-ul a fost „achiziționat” de la compania din Emiratele Arabe Unite condusă tot de Piankov, iar actualizările au continuat să fie livrate de acolo „pentru o perioadă limitată de tranziție”, nu face decât să întărească impresia sugerată deja de arhitectura companiei: este vorba despre același produs, cu aceleași funcționalități, actualizat în aceleași perioade și comercializat sub identități diferite pentru piețe care nu ar accepta cu aceeași ușurință o etichetă explicit rusească. Printre clienții revendicați se numără Universitatea Tehnică din Dresda, Laboratorul de Stat irlandez și, în Franța, o filială Orange și Haropa Port — operatorul celor trei mari porturi de pe coridorul Senei, clasificat drept „operator de importanță vitală”.

Ceea ce transformă acest caz dintr-o simplă poveste despre etichetare înșelătoare într-o problemă de securitate națională este însă natura produsului. Un manager de parole reprezintă, prin definiție, punctul unic de eșec al arhitecturii de securitate a unei organizații. Într-un fel, aceste programe seamănă cu airbagurile unei mașini: afli dacă funcționează doar în momentul accidentului. Chiar dacă versiunea „on-premise”, utilizată de majoritatea clienților, nu transmite date către serverele companiei, canalul prin care sunt distribuite actualizările software rămâne, teoretic, un vector prin care ar putea fi introdusă o vulnerabilitate deliberată. Iar faptul că firma-mamă din Rusia funcționează sub autorizația FSB creează cel puțin posibilitatea unei presiuni instituționale asupra dezvoltatorilor, indiferent de intențiile lor declarate.

Passwork nu este un caz izolat. Aici investigația publicată de Le Monde capătă o rezonanță mai largă dacă este citită alături de alte anchete recente realizate de aceleași rețele jurnalistice. Tot OCCRP, în parteneriat cu publicația rusă independentă Important Stories, a documentat în vara lui 2025 legăturile dintre infrastructura tehnică a Telegram și inginerul rus Vladimir Vedeneev, ale cărui companii au avut contracte de supraveghere cu FSB — inclusiv cu un centru descris drept unul dintre cele mai secrete organisme din arhitectura de securitate rusă, implicat, potrivit investigației, atât în planificarea invaziei Ucrainei, cât și în dezvoltarea unor instrumente de deanonimizare a utilizatorilor de internet.

În aceeași logică, Uniunea Europeană și Marea Britanie au atribuit oficial Centrului 16 al FSB — unitatea din spatele grupării de hacking Turla — un deceniu de campanii de sabotaj cibernetic împotriva infrastructurii critice europene, de la rețele electrice până la sisteme de apărare, impunând sancțiuni împotriva a nouă persoane și a patru entități. Centrul 16 al FSB este una dintre cele mai importante structuri de informații cibernetice ale Rusiei, responsabilă de operațiuni de spionaj electronic și asociată de autoritățile occidentale cu unele dintre cele mai sofisticate campanii de atacuri informatice împotriva infrastructurii critice europene.Dacă GRU este adesea asociat cu operațiunile spectaculoase de hacking, Centrul 16 al FSB este descris de experți drept structura care desfășoară campanii de spionaj cibernetic pe termen lung, discrete și extrem de sofisticate.

Franța a mers chiar mai departe, identificând oficial o subunitate a Centrului 16 al FSB, Unitatea 61240, drept responsabilă pentru o serie de operațiuni de spionaj cibernetic desfășurate împotriva unor instituții strategice franceze. Potrivit ANSSI, campaniile atribuite acestei structuri au compromis rețelele Ministerului Apărării în 2017, ambasada Franței la Moscova în 2018 și instituții ale sistemului judiciar în 2019, folosind tehnici avansate de infiltrare și menținere clandestină a accesului în sisteme informatice sensibile. În evaluarea autorităților franceze, aceste operațiuni nu au reprezentat incidente izolate, ci elemente ale unei campanii susținute de colectare de informații și de pregătire a unor capabilități pentru eventuale acțiuni cibernetice viitoare. Tabloul care se conturează nu este cel al unei conspirații centralizate, ci al unei realități mult mai banale și, tocmai de aceea, mai dificil de combătut. În lipsa unei suveranități tehnologice europene reale — nu doar declarative — granița dintre o „soluție europeană” și o infrastructură cu origine sau expunere rusească rămâne surprinzător de poroasă. În același timp, organismele naționale de certificare, precum ANSSI în Franța, se limitează la recomandări generale, fără capacitatea sau mandatul de a audita în profunzime fiecare furnizor care își revendică pașaportul european.

Pentru un operator precum Haropa Port — sau pentru orice instituție care administrează infrastructură critică — întrebarea nu mai este dacă eticheta „made in Europe” este autentică. Întrebarea este cine scrie codul, cine livrează actualizările și cine deține, în ultimă instanță, cheia care deschide airbagul.