Irske agencije kupile alat s vezama s FSB-om

Tri irske državne agencije nedavno su ukupno potrošile 13.281 euro na Passwork, alat za upravljanje lozinkama (Irish Times). Iznos je bio dovoljno malen da ne izazove posebnu pozornost u javnoj nabavi. No za taj su novac agencije dobile program koji pohranjuje lozinke kojima zaposlenici pristupaju internim sustavima, oblačnim platformama i administratorskim računima.

Tko stoji iza svežnja ključeva

Prekogranična istraga OCCRP-a, Ylea, Le Mondea i The Irish Timesa povezala je Passworkov vlasnički lanac s ruskim osnivačima (Yle). Sestrinska tvrtka imala je licencije ruske obavještajne službe FSB i FSTEC-a, tijela povezanog s obranom i nadzorom izvoza osjetljive tehnologije (Le Monde). Passwork se na tržištu predstavljao kao europski proizvod s „finskim korijenima”. Njegov finski subjekt poslovao je od 2017. do 2024., a kasnija prodaja išla je preko španjolske tvrtke. Sve tri irske agencije rekle su da su vjerovale kako kupuju od dobavljača iz Europske unije (Irish Times).

Istražitelji nisu pronašli dokaz da je europska inačica sadržavala stražnja vrata, odnosno skriveni kod koji omogućuje zaobilaženje uobičajene zaštite, niti dokaz da su podaci korisnika kompromitirani (Yle). Ta je razlika važna. Kod upravitelja lozinkama, međutim, rizik se ne mjeri samo onim što se dogodilo, nego i onim što bi se moglo dogoditi.

Upravitelj lozinkama funkcionira kao glavni svežanj ključeva. Elektronička pošta, baze podataka, oblačne usluge i administratorske ploče vrata su sustava; alat za lozinke drži kopije ključeva za svaka od njih. Američka agencija CISA opisuje takve alate kao način da se uvedu snažnije i jedinstvene lozinke, ali ista centralizacija sav rizik stavlja na jedno mjesto (CISA). Ako je kompromitiran alat za proračunske tablice, trpi jedan radni proces. Ako je kompromitiran trezor vjerodajnica, otvaraju se putovi prema svemu što taj trezor štiti.

Jedna agencija odabrala je Passwork zato što se mogao pokretati na njezinu vlastitom poslužitelju, a ne u oblaku. Lokalno pokretanje doista ograničava dio protoka podataka. No kod upravitelja lozinkama programski se kod i dalje ažurira kanalima koje kontrolira dobavljač, a upravo tim putem novi kod ulazi u sustav nakon početne instalacije. Kanali za podršku i postavke konfiguracije također su odnosi povjerenja koji traju dugo nakon uvođenja sustava (Le Monde). Ako je bilo koji od tih kanala kompromitiran, samo lokalno udomljavanje ne štiti tajne pohranjene unutra.

Europa ima pravila, ali ih nije primijenila

„Sa sjedištem u EU-u” podatak je o registraciji tvrtke, ne jamstvo sigurnosti. Europa već ima mehanizme za provjeru pouzdanosti softvera. ENISA-in okvir za kibersigurnosnu certifikaciju predviđa neovisnu procjenu softverskih proizvoda (ENISA). Akt o kibernetičkoj otpornosti, donesen 2024., svrstava upravitelje lozinkama među proizvode za koje prije dolaska na tržište EU-a moraju postojati dokumentirane sigurnosne kontrole (CRA). Francuska nacionalna agencija za kibersigurnost preporučuje proizvode s formalnom sigurnosnom certifikacijom, koju Passwork nije imao. Direktiva NIS2 od obuhvaćenih organizacija zasebno traži da provjere sigurnosne prakse svojih dobavljača, a ne samo njihove račune (NIS2).

Prema dosadašnjim javnim odgovorima, agencije su se u velikoj mjeri oslonile na dobavljačev europski identitet. Timovi za javnu nabavu morali bi pitati tko kontrolira kod, tko može slati ažuriranja, tko radi u kanalima za podršku i postoji li neovisna sigurnosna provjera.

Finski Supo i vojna obavještajna služba upozorili su u srpnju 2026. da kibernetička špijunaža ruskog FSB-a aktivno cilja finske tvrtke preko slabo zaštićenih mrežnih uređaja u poslovnim sustavima (Supo, Kyberturvallisuuskeskus). Ta se upozorenja ne odnose posebno na Passwork, ali objašnjavaju zašto proizvod čija je sestrinska tvrtka imala licenciju FSB-a mora završiti u ozbiljnoj procjeni dobavljačkog rizika.

Francuski parlament nedavno je procijenio da oko 80 posto javne nabave softvera preko središnjeg državnog nabavnog tijela odlazi američkim izdavačima, što znači oko 1,5 milijardi eura godišnje za neeuropski softver (Banque des Territoires). Slučaj Passwork pokazuje drugi jaz u digitalnom suverenitetu: neprozirno vlasništvo iza europskih oznaka. Njemačke smjernice za NIS2 već su tu odgovornost premjestile u uprave poduzeća, gdje viši menadžeri pristup dobavljača više ne mogu tretirati kao rutinsko informatičko održavanje (ComplyCheck).

Kada se povjerenje u trezor vjerodajnica uruši, uklanjanje softvera tek je početak. Svaku lozinku koju je pohranio, uključujući administratorske vjerodajnice i lozinke koje koriste strojevi umjesto ljudi, treba tretirati kao potencijalno izloženu i zamijeniti. NIST-ov okvir nultog povjerenja upozorava da se sigurnost ne smije oslanjati na jedan sloj kojem se unaprijed vjeruje (NIST SP 800-207).

Trinaest tisuća eura donijelo je trima irskim agencijama upravitelj lozinkama. Europi je donijelo studiju slučaja o tome što se događa kada javna nabava provjeri cijenu i etiketu, ali ne i dobavljački lanac softvera koji čuva ključeve.