Ιρλανδικές υπηρεσίες αγόρασαν λογισμικό με δεσμούς FSB

Τρεις ιρλανδικές κρατικές υπηρεσίες δαπάνησαν πρόσφατα συνολικά 13.281 ευρώ για έναν διαχειριστή κωδικών πρόσβασης, το Passwork (Irish Times). Το ποσό ήταν τόσο χαμηλό ώστε δύσκολα θα ενεργοποιούσε συναγερμό στις διαδικασίες προμηθειών. Αυτό που αγόρασαν, όμως, δεν ήταν ένα περιφερειακό εργαλείο γραφείου, αλλά λογισμικό που αποθηκεύει τους κωδικούς με τους οποίους οι υπάλληλοι μπαίνουν σε εσωτερικά συστήματα, πλατφόρμες cloud και λογαριασμούς διαχείρισης.

Ποιος κρατά το μπρελόκ

Διασυνοριακή έρευνα του OCCRP, της Yle, της Le Monde και των Irish Times ανίχνευσε την εταιρική αλυσίδα του Passwork έως Ρώσους ιδρυτές (Yle). Συγγενής εταιρεία κατείχε άδειες από τη ρωσική υπηρεσία πληροφοριών FSB και από τη FSTEC, φορέα που συνδέεται με την άμυνα και τον έλεγχο τεχνικών εξαγωγών (Le Monde). Το Passwork παρουσιαζόταν εμπορικά ως προϊόν με «φινλανδικές ρίζες» και ευρωπαϊκή ταυτότητα. Η φινλανδική του εταιρεία λειτούργησε από το 2017 έως το 2024, ενώ στη συνέχεια οι πωλήσεις πέρασαν μέσω ισπανικής εταιρείας. Και οι τρεις ιρλανδικές υπηρεσίες δήλωσαν ότι πίστευαν πως αγόραζαν από προμηθευτή της ΕΕ (Irish Times).

Οι ερευνητές δεν βρήκαν απόδειξη ότι η ευρωπαϊκή έκδοση περιείχε backdoor, δηλαδή κρυφό κώδικα που επιτρέπει παράκαμψη της κανονικής ασφάλειας, ούτε ότι είχαν παραβιαστεί δεδομένα πελατών (Yle). Η διάκριση έχει σημασία. Στην περίπτωση όμως ενός διαχειριστή κωδικών, το ερώτημα δεν περιορίζεται στο τι συνέβη· επεκτείνεται στο τι θα μπορούσε να συμβεί.

Ένας διαχειριστής κωδικών είναι το κεντρικό μπρελόκ ενός οργανισμού. Τα email, οι βάσεις δεδομένων, οι υπηρεσίες cloud και τα πάνελ διαχείρισης είναι οι πόρτες· το λογισμικό κρατά αντίγραφα όλων των κλειδιών. Η CISA περιγράφει αυτά τα εργαλεία ως μέσο για ισχυρότερους και μοναδικούς κωδικούς, αλλά η ίδια συγκέντρωση μεταφέρει και τον κίνδυνο σε ένα σημείο (CISA). Αν παραβιαστεί ένα υπολογιστικό φύλλο, διαταράσσεται μία ροή εργασίας. Αν παραβιαστεί ένα θησαυροφυλάκιο διαπιστευτηρίων, ανοίγουν διαδρομές προς ό,τι προστατεύει.

Μία υπηρεσία επέλεξε το Passwork επειδή μπορούσε να λειτουργήσει σε δικό της διακομιστή και όχι στο cloud. Η τοπική εγκατάσταση πράγματι περιορίζει ορισμένες ροές δεδομένων. Ο κώδικας ενός διαχειριστή κωδικών, όμως, συνεχίζει να ενημερώνεται μέσω καναλιών που ελέγχει ο προμηθευτής, δηλαδή μέσω της διαδρομής από την οποία εισέρχεται νέο λογισμικό στο σύστημα μετά την αρχική εγκατάσταση. Τα κανάλια υποστήριξης και οι ρυθμίσεις παραμετροποίησης είναι επίσης σχέσεις εμπιστοσύνης που επιβιώνουν της πρώτης εγκατάστασης (Le Monde). Αν κάποιο από αυτά τα κανάλια παραβιαστεί, η φιλοξενία σε τοπικό διακομιστή δεν αρκεί για να προστατεύσει τα μυστικά που βρίσκονται μέσα.

Η Ευρώπη είχε τους κανόνες, αλλά δεν τους χρησιμοποίησε

Η ένδειξη «με έδρα στην ΕΕ» είναι στοιχείο εταιρικής καταχώρισης, όχι εγγύηση ασφάλειας. Η Ευρώπη διαθέτει ήδη εργαλεία για να ελέγχει την αξιοπιστία λογισμικού. Το πλαίσιο πιστοποίησης κυβερνοασφάλειας του ENISA προβλέπει ανεξάρτητη αξιολόγηση προϊόντων λογισμικού (ENISA). Ο Κανονισμός για την Κυβερνοανθεκτικότητα, που υιοθετήθηκε το 2024, κατατάσσει τους διαχειριστές κωδικών στα προϊόντα που απαιτούν τεκμηριωμένους ελέγχους ασφάλειας πριν κυκλοφορήσουν στην αγορά της ΕΕ (CRA). Η εθνική αρχή κυβερνοασφάλειας της Γαλλίας συνιστά προϊόντα με επίσημη πιστοποίηση ασφάλειας, την οποία το Passwork δεν διέθετε. Χωριστά, η οδηγία NIS2 απαιτεί από τους οργανισμούς που υπάγονται σε αυτήν να ελέγχουν τις πρακτικές ασφάλειας των προμηθευτών τους, όχι μόνο τα τιμολόγιά τους (NIS2).

Από τις δημόσιες απαντήσεις μέχρι στιγμής, οι υπηρεσίες φαίνεται ότι στηρίχθηκαν σε μεγάλο βαθμό στην ευρωπαϊκή ταυτότητα του προμηθευτή. Οι ομάδες προμηθειών θα έπρεπε να ρωτούν ποιος ελέγχει τον κώδικα, ποιος μπορεί να προωθήσει ενημερώσεις, ποιος στελεχώνει τα κανάλια υποστήριξης και ποιος ανεξάρτητος έλεγχος ασφάλειας έχει γίνει.

Η Supo, η υπηρεσία ασφαλείας της Φινλανδίας, και οι στρατιωτικές πληροφορίες της χώρας προειδοποίησαν τον Ιούλιο του 2026 ότι η κυβερνοκατασκοπεία της ρωσικής FSB στοχεύει ενεργά φινλανδικές εταιρείες μέσω ανεπαρκώς προστατευμένων εταιρικών συσκευών δικτύου (Supo, Κέντρο Κυβερνοασφάλειας). Οι προειδοποιήσεις αυτές δεν αφορούν ειδικά το Passwork, αλλά δείχνουν γιατί ένα προϊόν με συγγενική εταιρεία αδειοδοτημένη από τη FSB ανήκει σε σοβαρό έλεγχο κινδύνου προμηθευτή.

Το γαλλικό κοινοβούλιο εκτίμησε πρόσφατα ότι περίπου 80% των αγορών δημόσιου λογισμικού μέσω της κεντρικής αρχής προμηθειών της χώρας καταλήγει σε αμερικανικούς εκδότες, δηλαδή περίπου 1,5 δισ. ευρώ ετησίως σε μη ευρωπαϊκό λογισμικό (Banque des Territoires). Η υπόθεση Passwork αναδεικνύει ένα δεύτερο κενό κυριαρχίας: την αδιαφανή ιδιοκτησία πίσω από ευρωπαϊκές ετικέτες. Η γερμανική καθοδήγηση για τη NIS2 έχει ήδη μεταφέρει το ζήτημα στην ευθύνη της διοίκησης, καθώς τα ανώτερα στελέχη δεν μπορούν πλέον να αντιμετωπίζουν την πρόσβαση προμηθευτών ως απλή τεχνική τακτοποίηση (ComplyCheck).

Όταν καταρρεύσει η εμπιστοσύνη σε ένα θησαυροφυλάκιο διαπιστευτηρίων, η απεγκατάσταση του λογισμικού είναι μόνο η αρχή. Κάθε κωδικός που αποθήκευε, μαζί με τα διαχειριστικά διαπιστευτήρια και τους κωδικούς που χρησιμοποιούν μηχανές αντί για ανθρώπους, πρέπει να θεωρηθεί δυνητικά εκτεθειμένος και να αλλάξει. Το πλαίσιο μηδενικής εμπιστοσύνης του NIST προειδοποιεί ακριβώς απέναντι στην εξάρτηση από ένα μόνο αξιόπιστο επίπεδο (NIST SP 800-207).

Δεκατρείς χιλιάδες ευρώ αγόρασαν σε τρεις ιρλανδικές υπηρεσίες έναν διαχειριστή κωδικών. Αγόρασαν επίσης στην Ευρώπη ένα μάθημα για το τι συμβαίνει όταν οι προμήθειες ελέγχουν την τιμή και την ετικέτα, αλλά όχι την αλυσίδα εφοδιασμού πίσω από το λογισμικό που φυλά τα κλειδιά.