De geheime briefings maken deel uit van de bredere strategie van Washington om aanbieders van kritieke infrastructuur, zoals water, telecommunicatie en energie, voor te bereiden op mogelijke Russische inbraken.
President Joe Biden zei vorige week dat de sancties die Rusland zijn opgelegd voor zijn aanval op Oekraïne op 24 februari, zouden kunnen resulteren in een terugslag, met inbegrip van cyberstoringen, maar het Witte Huis gaf geen bijzonderheden.
"De risicoberekening is veranderd met het Oekraïne-conflict," zei de hoge Amerikaanse ambtenaar over de software van Kaspersky. "Het is toegenomen."
Kaspersky, een van de populairste makers van anti-virussoftware in de cybersecurity-industrie, heeft zijn hoofdkantoor in Moskou en is opgericht door een voormalige Russische inlichtingenofficier, Eugene Kaspersky.
Een woordvoerster van Kaspersky zei in een verklaring dat de briefings over vermeende risico's van Kaspersky-software "verdere schade" zouden toebrengen aan de reputatie van Kaspersky "zonder het bedrijf de kans te geven direct op dergelijke zorgen te reageren" en dat het "niet gepast of rechtvaardig is."
De hoge Amerikaanse functionaris zei dat het in Rusland gestationeerde personeel van Kaspersky door Russische rechtshandhavings- of inlichtingendiensten zou kunnen worden gedwongen om op afstand toegang te verschaffen tot de computers van hun klanten of om hen daarbij te helpen.
Kaspersky, dat een kantoor in de Verenigde Staten heeft, vermeldt op zijn website partnerschappen met Microsoft, Intel en IBM. Microsoft weigerde commentaar te geven. Intel en IBM reageerden niet op verzoeken om commentaar.
Op 25 maart voegde de Federal Communications Commission Kaspersky toe aan haar lijst van leveranciers van communicatieapparatuur en -diensten die als een bedreiging voor de nationale veiligheid van de VS worden beschouwd.
Het is niet de eerste keer dat Washington heeft gezegd dat Kaspersky door het Kremlin zou kunnen worden beïnvloed.
De regering-Trump heeft in 2017 en 2018 maandenlang Kaspersky uit overheidssystemen geweerd en tal van bedrijven gewaarschuwd om de software niet te gebruiken.
De Amerikaanse veiligheidsdiensten hielden een reeks soortgelijke cyberveiligheidsbriefings rond het verbod van Trump. De inhoud van die vergaderingen vier jaar geleden was vergelijkbaar met de nieuwe briefings, zei een van de mensen die met de zaak vertrouwd zijn.
In de loop der jaren heeft Kaspersky steeds ontkend dat er sprake was van wandaden of een geheime samenwerking met de Russische inlichtingendienst.
Het is onduidelijk of een specifiek incident of een stuk van nieuwe inlichtingen tot de veiligheidsbriefings heeft geleid. De hoge ambtenaar weigerde commentaar te geven op geheime informatie.
Tot nu toe heeft geen enkele Amerikaanse of geallieerde inlichtingendienst ooit direct, openbaar bewijs geleverd van een achterdeur in de software van Kaspersky.
Na het besluit van Trump heeft Kaspersky een reeks transparantiecentra geopend, waar partners volgens het bedrijf zijn code kunnen bekijken om te controleren op kwaadaardige activiteiten. In een toenmalige blogpost van het bedrijf werd uitgelegd dat het doel was om vertrouwen op te bouwen bij de klanten na de beschuldigingen van de V.S.
Maar de Amerikaanse ambtenaar zei dat de transparantiecentra "zelfs geen vijgenblad" zijn, omdat ze niet ingaan op de bezorgdheid van de Amerikaanse regering.
"Moskouse software-ingenieurs behandelen de [software] updates, daar komt het risico," zeiden ze. "Zij kunnen via de updaters kwaadaardige commando's sturen en dat komt uit Rusland."
Cyberbeveiligingsdeskundigen zeggen dat door de manier waarop anti-virussoftware normaliter functioneert op computers waarop het geïnstalleerd is, het een diep niveau van controle vereist om malware te ontdekken. Dat maakt van anti-virussoftware een inherent voordelig kanaal om spionage te bedrijven.
Bovendien worden de producten van Kaspersky soms ook verkocht onder white label verkoopovereenkomsten. Dit betekent dat de software in commerciële deals door informatietechnologie-aannemers verpakt en van een andere naam voorzien kan worden, waardoor de herkomst moeilijk onmiddellijk te achterhalen is.
Hoewel het Britse cyberveiligheidscentrum Kaspersky niet bij naam noemde, zei het dinsdag dat organisaties die diensten verlenen in verband met Oekraïne of kritieke infrastructuur, het risico moeten heroverwegen dat verbonden is aan het gebruik van Russische computertechnologie in hun toeleveringsketens.
"We hebben geen bewijs dat de Russische staat van plan is Russische commerciële producten en diensten te ondermijnen om schade toe te brengen aan Britse belangen, maar de afwezigheid van bewijs is geen bewijs van afwezigheid," zei het National Cyber Security Centre in een blogpost.
