Irské úřady koupily nástroj s vazbou na FSB

Tři irské státní instituce nedávno zaplatily dohromady 13 281 € za správce hesel Passwork (Irish Times). Částky byly tak nízké, že se v nákupních procesech snadno ztratily. Za tyto peníze ale úřady nekupovaly běžný kancelářský nástroj. Pořídily si software, který uchovává hesla zaměstnanců k interním systémům, cloudovým službám i administrátorským účtům.

Kdo drží svazek klíčů

Přeshraniční investigace OCCRP, finské Yle, Le Monde a The Irish Times vysledovala vlastnický řetězec Passworku k ruským zakladatelům (Yle). Sesterská firma měla licence od ruské tajné služby FSB a také od FSTEC, úřadu napojeného na obranu a kontrolu technického exportu (Le Monde). Passwork se přitom prezentoval jako evropská firma s finskými kořeny. Jeho finská entita fungovala v letech 2017 až 2024, pozdější prodeje šly přes španělskou společnost. Všechny tři irské instituce uvedly, že měly za to, že nakupují od dodavatele z EU (Irish Times).

Vyšetřovatelé nenašli důkaz, že by evropská verze obsahovala zadní vrátka, tedy skrytý kód umožňující obejít běžné zabezpečení, ani že by byla kompromitována zákaznická data (Yle). To je podstatné rozlišení. U správce hesel ale nejde jen o to, co se stalo, nýbrž i o to, co by se stát mohlo.

Správce hesel je v praxi centrální svazek klíčů. E-mail, databáze, cloudové služby a administrační panely jsou dveře; správce hesel drží kopie klíčů ke všem. Americká agentura CISA tyto nástroje popisuje jako způsob, jak používat silnější a jedinečná hesla, stejná centralizace ale soustřeďuje riziko do jednoho místa (CISA). Napadený tabulkový editor naruší jeden pracovní postup. Napadený trezor přihlašovacích údajů otevírá cesty do všeho, co chrání.

Jedna z institucí si Passwork vybrala proto, že jej mohla provozovat na vlastním serveru, nikoli v cloudu. Lokální provoz skutečně omezuje některé datové toky. Kód správce hesel se ale dál aktualizuje přes kanály, které ovládá dodavatel; právě tudy se po instalaci dostává do systému nový software. Důvěru vyžadují i podpora a konfigurační nastavení, tedy vztahy, které přežívají počáteční nasazení (Le Monde). Pokud se některý z těchto kanálů stane zranitelným, samotný provoz na vlastním serveru tajemství uvnitř neochrání.

Evropa pravidla má, ale nepoužila je

Označení „se sídlem v EU“ je údaj z obchodního rejstříku, nikoli bezpečnostní záruka. Evropa přitom nástroje pro ověřování důvěryhodnosti softwaru má. Certifikační rámec agentury ENISA umožňuje nezávislé posuzování softwarových produktů (ENISA). Akt o kybernetické odolnosti, přijatý v roce 2024, řadí správce hesel mezi produkty, které mají před vstupem na trh EU doložit bezpečnostní kontroly (CRA). Francouzská národní agentura pro kybernetickou bezpečnost doporučuje používat produkty s formální bezpečnostní certifikací, kterou Passwork neměl. Směrnice NIS2 navíc po zahrnutých organizacích vyžaduje, aby prověřovaly bezpečnostní praxi dodavatelů, nejen jejich faktury (NIS2).

Z dosavadních veřejných reakcí vyplývá, že irské instituce se silně spoléhaly na evropskou identitu dodavatele. Nákupní týmy by se přitom měly ptát, kdo ovládá kód, kdo může posílat aktualizace, kdo zajišťuje podporu a jaké nezávislé bezpečnostní prověrky produkt má.

Finská kontrarozvědka Supo a vojenské zpravodajství v červenci 2026 varovaly, že kybernetická špionáž ruské FSB aktivně cílí na finské firmy přes špatně chráněná podniková síťová zařízení (Supo, Kyberturvallisuuskeskus). Tato varování se netýkají přímo Passworku. Ukazují však, proč produkt se sesterskou firmou licencovanou FSB patří do důkladného posouzení dodavatelského rizika.

Francouzský parlament nedávno odhadl, že zhruba 80 % veřejných nákupů softwaru přes centrální nákupní agenturu státu míří k americkým vydavatelům, přibližně 1,5 mld. € ročně za mimoevropský software (Banque des Territoires). Případ Passwork ukazuje druhou mezeru v digitální suverenitě: neprůhledné vlastnictví schované za evropskou etiketou. Německé pokyny k NIS2 už z dodavatelského přístupu udělaly téma pro vedení firem a institucí; vrcholový management jej nemůže dál odkládat jako běžnou IT údržbu (ComplyCheck).

Když se důvěra v trezor přihlašovacích údajů zhroutí, odinstalace softwaru je teprve začátek. Každé heslo, které v něm bylo uložené, včetně administrátorských přístupů a hesel používaných stroji místo lidí, je třeba považovat za potenciálně odhalené a vyměnit. Rámec nulové důvěry amerického NIST varuje právě před spoléháním na jednu vrstvu, které se implicitně věří (NIST SP 800-207).

Za třináct tisíc eur získaly tři irské instituce správce hesel. Evropa za stejnou cenu dostala případovou studii toho, co se stane, když veřejný nákup zkontroluje cenu a nálepku, ale ne dodavatelský řetězec softwaru, který má hlídat klíče.