Ирландски агенции купили софтуер с връзки с ФСБ

Три ирландски държавни агенции са похарчили общо 13 281 евро за мениджър на пароли, наречен Passwork (Irish Times). Сумата е достатъчно малка, за да не задейства сериозна тревога при обществените поръчки. Срещу нея обаче агенциите са получили инструмент, който съхранява всички пароли, използвани от служителите им за достъп до вътрешни системи, облачни платформи и административни профили.

Кой стои зад ключодържателя

Разследване на ОССРП, финландската Юле, Льо Монд и Айриш Таймс проследява корпоративната верига на Passwork до руски основатели (Yle). Свързана компания е имала лицензи от руската разузнавателна служба ФСБ и от ФСТЕК — структура, свързана с отбраната и контрола върху техническия износ (Le Monde). Passwork се е представяла като компания с „финландски корени“ и европейски профил. Финландското ѝ дружество е работило от 2017 до 2024 г., а по-късно продажбите са минавали през испанска компания. И трите ирландски агенции казват, че са смятали, че купуват от доставчик от ЕС (Irish Times).

Разследващите не са открили доказателства, че европейската версия е съдържала задна врата — скрит код, който позволява заобикаляне на нормалната защита — или че данни на клиенти са били компрометирани (Yle). Това уточнение е важно. При мениджър на пароли обаче въпросът не е само какво се е случило, а и какво би могло да се случи.

Мениджърът на пароли е главният ключодържател. Имейлите, базите данни, облачните услуги и административните панели са вратите; софтуерът държи копията на ключовете. Американската агенция за киберсигурност СИСА описва тези инструменти като начин за използване на по-силни и уникални пароли, но същата централизация събира риска на едно място (CISA). Компрометиран инструмент за електронни таблици нарушава един работен процес. Компрометиран сейф за идентификационни данни отваря пътища към всичко, което пази.

Една от агенциите е избрала Passwork, защото продуктът е можел да работи на неин собствен сървър, а не в облака. Локалното инсталиране наистина ограничава част от потоците от данни. Но кодът на мениджъра на пароли продължава да се обновява през канали, контролирани от доставчика — именно по този маршрут нов код влиза в системата след първоначалната инсталация. Каналите за поддръжка и настройките на конфигурацията също са отношения на доверие, които продължават дълго след внедряването (Le Monde). Ако някой от тези канали бъде компрометиран, локалното хостване само по себе си не защитава тайните вътре.

Европа има правила, но не ги е използвала

„Базирана в ЕС“ е факт за корпоративна регистрация, не гаранция за сигурност. Европа вече разполага с инструменти за проверка на надеждността на софтуера. Рамката на ЕНИСА за сертифициране на киберсигурността предвижда независима оценка на софтуерни продукти (ENISA). Регламентът за киберустойчивост, приет през 2024 г., поставя мениджърите на пароли сред продуктите, за които се изискват документирани мерки за сигурност, преди да стигнат до пазара на ЕС (CRA). Френската национална агенция за киберсигурност препоръчва продукти с формална сертификация за сигурност, каквато Passwork не е имала. Отделно директивата НИС 2 изисква организациите в обхвата ѝ да проверяват практиките за сигурност на доставчиците си, а не само фактурите им (NIS2).

От публичните реакции досега изглежда, че агенциите са разчитали основно на европейската самоличност на доставчика. Екипите по обществени поръчки би трябвало да питат кой контролира кода, кой може да пуска обновления, кой обслужва каналите за поддръжка и какъв независим преглед на сигурността съществува.

Финландската служба за сигурност Супо и военното разузнаване предупредиха през юли 2026 г., че кибершпионажът на руската ФСБ активно се насочва към финландски компании чрез слабо защитени корпоративни мрежови устройства (Supo, Kyberturvallisuuskeskus). Тези предупреждения не са конкретно за Passwork. Те обаче показват защо продукт със свързана компания, лицензирана от ФСБ, трябва да мине през сериозна оценка на риска при доставчиците.

Френският парламент наскоро оцени, че около 80 % от публичните покупки на софтуер през централната агенция за обществени поръчки в страната отиват при американски издатели — приблизително 1,5 млрд. евро годишно за неевропейски софтуер (Banque des Territoires). Случаят Passwork показва втори дефицит на суверенитет: непрозрачна собственост зад европейски етикети. Германските насоки по НИС 2 вече превърнаха този въпрос в отговорност на ръководството, при която висшият мениджмънт не може да третира достъпа на доставчици като рутинна задача на ИТ отдела (ComplyCheck).

Когато доверието в сейф за идентификационни данни се срине, деинсталирането на софтуера е само началото. Всяка съхранявана парола, включително административни данни за достъп и пароли, използвани от машини, а не от хора, трябва да се третира като потенциално разкрита и да бъде сменена. Рамката на НИСТ за нулево доверие предупреждава срещу зависимостта от един-единствен доверен слой (NIST SP 800-207).

Тринадесет хиляди евро са купили на три ирландски агенции мениджър на пароли. Те дадоха и на Европа конкретен пример какво се случва, когато обществената поръчка проверява цената и етикета, но не и веригата на доставки зад софтуера, който пази ключовете.