L’Irlande piégée par Passwork

Trois agences publiques irlandaises ont dépensé 13 281 € pour Passwork, un gestionnaire de mots de passe présenté comme européen. Une enquête relie sa chaîne d’entreprises à des fondateurs russes et à une société sœur titulaire de licences du FSB.

Trois petites factures peuvent suffire à installer un risque systémique. Les agences irlandaises concernées n’ont pas acheté un logiciel administratif ordinaire : elles ont confié à Passwork les identifiants permettant d’entrer dans leurs systèmes internes, leurs services cloud et leurs comptes d’administration (Irish Times). Le montant total, 13 281 €, était trop faible pour déclencher les réflexes de prudence que l’on réserve aux grands marchés publics. L’objet du marché, lui, aurait dû suffire.

Qui tient le trousseau

Une enquête transfrontalière de l’OCCRP, de Yle, du Monde et de The Irish Times a retracé la chaîne capitalistique de Passwork jusqu’à ses fondateurs russes (Yle). Une société sœur détenait des licences du FSB, le service russe de renseignement intérieur, et du FSTEC, un organisme lié à la défense et au contrôle technique des exportations (Le Monde). Passwork se présentait comme une entreprise aux racines finlandaises et européennes. Son entité finlandaise a fonctionné de 2017 à 2024, avant que les ventes ne passent ensuite par une société espagnole. Les trois agences irlandaises disent avoir pensé acheter auprès d’un fournisseur de l’Union européenne (Irish Times).

Les enquêteurs n’ont trouvé aucune preuve que la version européenne contenait une porte dérobée, c’est-à-dire un code caché permettant de contourner les protections normales, ni que les données des clients aient été compromises (Yle). La nuance est essentielle. Mais avec un gestionnaire de mots de passe, le sujet ne se limite pas à ce qui s’est produit ; il porte aussi sur ce que l’architecture rend possible.

Un gestionnaire de mots de passe est un trousseau central. Les messageries, bases de données, services cloud et interfaces d’administration sont les portes ; le logiciel conserve les copies des clés. L’agence américaine CISA décrit ces outils comme un moyen d’utiliser des mots de passe plus solides et uniques, mais cette centralisation concentre aussi le risque au même endroit (CISA). Un tableur compromis perturbe un flux de travail. Un coffre d’identifiants compromis ouvre des chemins vers tout ce qu’il protège.

Une des agences a choisi Passwork parce que le logiciel pouvait fonctionner sur ses propres serveurs plutôt que dans le cloud. L’hébergement local réduit certains flux de données, mais il ne supprime pas la relation de confiance avec l’éditeur. Le code d’un gestionnaire de mots de passe continue d’être mis à jour par des canaux contrôlés par le fournisseur ; c’est par là qu’un nouveau code entre dans le système après l’installation. Les canaux de support et les paramètres de configuration prolongent eux aussi cette dépendance (Le Monde). Si l’un de ces canaux est compromis, l’hébergement local ne protège pas à lui seul les secrets stockés.

L’Europe avait les règles, elle ne les a pas appliquées

Être « basé dans l’UE » est une information d’immatriculation, pas une garantie de sécurité. L’Europe dispose déjà d’outils pour vérifier la fiabilité des logiciels. Le cadre de certification de cybersécurité de l’ENISA prévoit une évaluation indépendante des produits (ENISA). Le règlement sur la cyber-résilience, adopté en 2024, classe les gestionnaires de mots de passe parmi les produits qui doivent documenter leurs contrôles de sécurité avant d’arriver sur le marché européen (CRA). En France, l’Agence nationale de la sécurité des systèmes d’information recommande de privilégier les produits disposant d’une certification formelle, que Passwork ne détenait pas. La directive NIS2 impose par ailleurs aux organisations concernées d’évaluer les pratiques de sécurité de leurs fournisseurs, pas seulement leurs factures (NIS2).

Au vu des réponses publiques, les agences semblent s’être largement reposées sur l’identité européenne du fournisseur. C’est précisément le raccourci que la souveraineté numérique devrait éviter. Les acheteurs publics doivent demander qui contrôle le code, qui peut pousser les mises à jour, qui répond sur les canaux de support et quelle revue de sécurité indépendante a été conduite.

En juillet 2026, le Supo finlandais et le renseignement militaire ont averti que le cyberespionnage du FSB ciblait activement des entreprises finlandaises à travers des équipements réseau professionnels mal protégés (Supo, Kyberturvallisuuskeskus). Ces alertes ne visent pas spécifiquement Passwork. Elles expliquent toutefois pourquoi un produit lié à une société sœur licenciée par le FSB aurait dû entrer dans une revue sérieuse du risque fournisseur.

Le Parlement français a récemment estimé qu’environ 80 % des achats publics de logiciels réalisés par la centrale d’achat de l’État allaient à des éditeurs américains, soit près de 1,5 milliard d’euros par an consacré à des logiciels non européens (Banque des Territoires). L’affaire Passwork montre une autre faille de souveraineté : l’opacité de la propriété réelle derrière des étiquettes européennes. En Allemagne, la doctrine NIS2 place déjà cette responsabilité au niveau des directions générales : l’accès fournisseur ne peut plus être traité comme une simple affaire de service informatique (ComplyCheck).

Quand la confiance dans un coffre d’identifiants s’effondre, désinstaller le logiciel n’est que le début. Tous les mots de passe qu’il contenait, y compris les comptes administrateurs et les identifiants utilisés par des machines plutôt que par des personnes, doivent être considérés comme potentiellement exposés et renouvelés. Le cadre « zero trust » du NIST rappelle qu’aucune couche unique ne doit être tenue pour définitivement fiable (NIST SP 800-207).

Treize mille euros ont permis à trois agences irlandaises d’acheter un gestionnaire de mots de passe. Ils offrent surtout à l’Europe une étude de cas : vérifier le prix et le drapeau ne suffit pas quand le logiciel acheté garde les clés.