Irlanda compró software vinculado al FSB

Tres organismos públicos irlandeses gastaron recientemente 13.281 euros en Passwork, un gestor de contraseñas (Irish Times). La cantidad era lo bastante modesta como para no activar grandes alarmas de contratación. A cambio, las agencias adquirieron una herramienta destinada a almacenar todas las claves que usa su personal para acceder a sistemas internos, plataformas en la nube y cuentas de administración.

Quién está detrás del llavero

Una investigación transfronteriza de OCCRP, Yle, Le Monde y The Irish Times ha reconstruido la cadena societaria de Passwork hasta sus fundadores rusos (Yle). Una empresa hermana tenía licencias del FSB, el servicio de inteligencia ruso, y de FSTEC, un organismo vinculado a la defensa y al control de exportaciones técnicas (Le Monde). Passwork se presentaba como una compañía europea con «raíces finlandesas». Su sociedad en Finlandia operó entre 2017 y 2024; después, las ventas se canalizaron a través de una empresa española. Las tres agencias irlandesas afirmaron que creían estar comprando a un proveedor de la UE (Irish Times).

Los investigadores no encontraron pruebas de que la versión europea incluyera una puerta trasera, es decir, código oculto que permite eludir los controles normales de seguridad, ni de que los datos de clientes se hubieran visto comprometidos (Yle). La distinción importa. Pero, en un gestor de contraseñas, la pregunta no se limita a qué ha ocurrido, sino a qué podría ocurrir.

Un gestor de contraseñas es un llavero maestro. El correo electrónico, las bases de datos, los servicios en la nube y los paneles de administración son las puertas; el gestor conserva copias de todas las llaves. CISA describe estas herramientas como un modo de facilitar contraseñas más robustas y únicas, aunque esa misma centralización concentra el riesgo en un solo punto (CISA). Si se compromete una hoja de cálculo, se altera un flujo de trabajo. Si se compromete una caja fuerte de credenciales, se abren rutas hacia todo lo que protege.

Una de las agencias eligió Passwork porque podía instalarse en sus propios servidores y no en la nube. Ejecutar el software de forma local limita algunos flujos de datos. Pero el código de un gestor de contraseñas se sigue actualizando por canales controlados por el proveedor, que son la vía por la que entra código nuevo en el sistema después de la instalación. Los canales de soporte y los ajustes de configuración también son relaciones de confianza que sobreviven a la puesta en marcha inicial (Le Monde). Si alguno de esos canales se ve comprometido, alojar el programa en local no basta para proteger los secretos que contiene.

Europa tiene las normas, pero no las aplicó

«Con sede en la UE» es un dato registral, no una garantía de seguridad. Europa ya dispone de instrumentos para verificar la fiabilidad del software. El marco de certificación de ciberseguridad de ENISA permite evaluar productos de forma independiente (ENISA). El Reglamento de Ciberresiliencia, aprobado en 2024, incluye los gestores de contraseñas entre los productos que deben contar con controles de seguridad documentados antes de llegar al mercado europeo (CRA). La agencia francesa de ciberseguridad recomienda productos con certificación formal de seguridad, que Passwork no tenía. La directiva NIS2 exige además que las organizaciones cubiertas examinen las prácticas de seguridad de sus proveedores, no solo sus facturas (NIS2).

A la vista de las respuestas públicas conocidas hasta ahora, las agencias parecen haber confiado en gran medida en la identidad europea del proveedor. Los equipos de contratación deberían preguntar quién controla el código, quién puede distribuir actualizaciones, quién atiende los canales de soporte y qué revisión independiente de seguridad existe.

Supo, el servicio de seguridad finlandés, y la inteligencia militar de Finlandia advirtieron en julio de 2026 de que el ciberespionaje del FSB ruso estaba atacando activamente a empresas finlandesas a través de dispositivos de red corporativos mal protegidos (Supo, Kyberturvallisuuskeskus). Esas advertencias no se referían específicamente a Passwork, pero explican por qué un producto con una empresa hermana licenciada por el FSB debería someterse a una revisión seria de riesgo de proveedor.

El Parlamento francés estimó recientemente que alrededor del 80% de las compras públicas de software realizadas a través de la central de contratación del país van a parar a editores estadounidenses, unos 1.500 millones de euros al año en programas no europeos (Banque des Territoires). El caso Passwork muestra una segunda brecha de soberanía: propietarios opacos tras etiquetas europeas. La guía alemana sobre NIS2 ya ha llevado esta cuestión al consejo de administración, donde los altos directivos no pueden seguir tratando el acceso de proveedores como una tarea menor del departamento informático (ComplyCheck).

Cuando se rompe la confianza en una caja fuerte de credenciales, desinstalar el software es solo el primer paso. Todas las contraseñas que almacenaba, incluidas las credenciales de administrador y las claves usadas por máquinas en lugar de personas, deben tratarse como potencialmente expuestas y renovarse. El marco de confianza cero del NIST advierte contra la dependencia de una única capa de confianza (NIST SP 800-207).

Trece mil euros compraron a tres agencias irlandesas un gestor de contraseñas. También han dejado a Europa un caso práctico sobre lo que ocurre cuando la contratación revisa el precio y la etiqueta, pero no la cadena de suministro que hay detrás del software encargado de custodiar las llaves.