Irland købte kodeværktøj med FSB-spor

Tre irske statslige myndigheder har for nylig brugt tilsammen 13.281 euro på passwordmanageren Passwork (Irish Times). Beløbet var så lille, at det næppe har fået nogen indkøbsalarm til at blinke. Men produktet var ikke en almindelig kontorlicens. Det var et værktøj, der samler de adgangskoder, medarbejdere bruger til interne systemer, cloudtjenester og administrative konti.

Hvem holder nøgleringen

En grænseoverskridende undersøgelse fra OCCRP, Yle, Le Monde og The Irish Times har sporet Passworks selskabskæde tilbage til russiske grundlæggere (Yle). Et søsterselskab havde licenser fra den russiske efterretningstjeneste FSB og fra FSTEC, en myndighed med forbindelser til forsvar og teknisk eksportkontrol (Le Monde). Passwork markedsførte sig som europæisk og med finske rødder. Den finske enhed var aktiv fra 2017 til 2024, hvorefter salget gik gennem et spansk selskab. Alle tre irske myndigheder siger, at de troede, de købte fra en EU-leverandør (Irish Times).

Undersøgelsen fandt ikke bevis for, at den europæiske version indeholdt en bagdør, altså skjult kode, der kan omgå normal sikkerhed, eller at kundedata var kompromitteret (Yle). Den forskel er vigtig. Men for en passwordmanager handler risikovurderingen ikke kun om, hvad der er sket. Den handler også om, hvad produktet giver adgang til, hvis tilliden bryder sammen.

En passwordmanager er en hovednøglering. Mail, databaser, cloudtjenester og administrationspaneler er dørene; værktøjet gemmer kopier af nøglerne. Den amerikanske cybersikkerhedsmyndighed CISA beskriver passwordmanagere som en måde at skabe stærkere og unikke adgangskoder på, men den samme centralisering samler også risikoen ét sted (CISA). Hvis et regnearksprogram kompromitteres, rammer det typisk én arbejdsgang. Hvis en passwordboks kompromitteres, kan den åbne veje ind i alt det, den beskytter.

En af myndighederne valgte Passwork, fordi systemet kunne køre på myndighedens egen server frem for i skyen. Lokal drift kan begrænse visse datastrømme. Men passwordmanagerens kode bliver stadig opdateret gennem kanaler, som leverandøren kontrollerer. Det er den vej, ny kode kommer ind i systemet efter installationen. Supportkanaler og konfigurationsadgang er også tillidsforhold, der fortsætter længe efter første opsætning (Le Monde). Hvis sådanne kanaler kompromitteres, beskytter lokal hosting ikke i sig selv hemmelighederne i boksen.

Europa har reglerne, men sprang dem over

"EU-baseret" er en selskabsoplysning, ikke en sikkerhedsgaranti. Europa har allerede redskaber til at kontrollere softwaretillid. ENISA, EU’s cybersikkerhedsagentur, har en certificeringsramme, som giver mulighed for uafhængig vurdering af softwareprodukter (ENISA). Cyber Resilience Act, der blev vedtaget i 2024, placerer passwordmanagere blandt de produkter, der skal have dokumenterede sikkerhedskontroller, før de kommer på EU-markedet (CRA). Frankrigs nationale cybersikkerhedsmyndighed anbefaler produkter med formel sikkerhedscertificering, hvilket Passwork ikke havde. NIS2-direktivet kræver desuden, at omfattede organisationer vurderer leverandørers sikkerhedspraksis, ikke kun deres fakturaer (NIS2).

Ud fra myndighedernes offentlige svar ser det ud til, at de i høj grad lagde vægt på leverandørens europæiske identitet. Indkøbere bør i stedet spørge, hvem der kontrollerer koden, hvem der kan udsende opdateringer, hvem der bemander supporten, og hvilken uafhængig sikkerhedsgennemgang produktet har været igennem.

Finlands sikkerhedspoliti Supo og den militære efterretningstjeneste advarede i juli 2026 om, at russisk FSB-cyberspionage aktivt retter sig mod finske virksomheder gennem dårligt beskyttede netværksenheder (Supo, Kyberturvallisuuskeskus). Advarslerne handler ikke specifikt om Passwork. De viser til gengæld, hvorfor et produkt med et FSB-licenseret søsterselskab hører hjemme i en grundig leverandørrisikovurdering.

Det franske parlament har for nylig anslået, at omkring 80 % af offentlige softwareindkøb gennem landets centrale indkøbsmyndighed går til amerikanske udgivere, svarende til cirka 1,5 mia. euro om året på ikke-europæisk software (Banque des Territoires). Passwork-sagen viser et andet hul i Europas digitale suverænitet: uklart ejerskab bag europæiske etiketter. Tysklands NIS2-vejledning har allerede gjort leverandørrisiko til et ledelsesansvar, hvor direktioner ikke længere kan behandle adgang for eksterne leverandører som almindelig IT-drift (ComplyCheck).

Når tilliden til en passwordboks bryder sammen, er afinstallation kun første skridt. Alle adgangskoder, den har gemt, herunder administratoradgange og maskin-til-maskin-koder, må behandles som potentielt eksponerede og skiftes. NIST’s ramme for zero trust advarer netop mod at læne sig på ét enkelt betroet lag (NIST SP 800-207).

For 13.000 euro købte tre irske myndigheder en passwordmanager. De købte samtidig Europa et lærestykke i, hvad der sker, når offentligt indkøb kontrollerer prisen og etiketten, men ikke forsyningskæden bag den software, der vogter nøglerne.