Passwork, forniture irlandesi e legami FSB

Tre agenzie statali irlandesi hanno speso di recente complessivamente 13.281 euro per un gestore di password chiamato Passwork (Irish Times). Cifre abbastanza basse da non far scattare particolari allarmi nelle procedure di acquisto. In cambio, però, le agenzie hanno ottenuto uno strumento che conserva tutte le password usate dal personale per accedere a sistemi interni, piattaforme cloud e account amministrativi.

Chi c'è dietro il portachiavi

Un'inchiesta transnazionale di OCCRP, Yle, Le Monde e The Irish Times ha ricostruito la catena societaria di Passwork fino ai fondatori russi (Yle). Una società collegata possedeva licenze rilasciate dall'FSB, il servizio d'intelligence russo, e da FSTEC, organismo legato alla difesa e al controllo delle esportazioni tecnologiche (Le Monde). Passwork si presentava come un prodotto con «radici finlandesi» ed europeo. La società finlandese ha operato dal 2017 al 2024; in seguito le vendite sono passate attraverso una società spagnola. Tutte e tre le agenzie irlandesi hanno detto di ritenere di acquistare da un fornitore dell'UE (Irish Times).

Gli investigatori non hanno trovato prove che la versione europea contenesse una backdoor, cioè codice nascosto capace di aggirare le normali difese, né che i dati dei clienti siano stati compromessi (Yle). La distinzione conta. Ma, quando si parla di un gestore di password, la domanda non riguarda soltanto ciò che è accaduto: riguarda ciò che potrebbe accadere.

Un gestore di password è un portachiavi principale. Email, database, servizi cloud e pannelli di amministrazione sono le porte; il gestore conserva copie di tutte le chiavi. CISA descrive questi strumenti come un modo per usare password più robuste e uniche, ma la stessa centralizzazione concentra il rischio in un solo punto (CISA). Se si compromette un foglio di calcolo, si blocca un flusso di lavoro. Se si compromette una cassaforte di credenziali, si aprono vie d'accesso a tutto ciò che quella cassaforte protegge.

Una delle agenzie ha scelto Passwork perché il software poteva girare sui server interni anziché nel cloud. L'installazione locale limita alcuni flussi di dati, ma il codice di un gestore di password continua a ricevere aggiornamenti attraverso canali controllati dal fornitore, cioè la strada da cui entra nuovo codice dopo l'installazione. Anche assistenza tecnica e configurazioni restano rapporti di fiducia che sopravvivono alla messa in funzione iniziale (Le Monde). Se uno di quei canali venisse compromesso, l'hosting locale da solo non basterebbe a proteggere i segreti custoditi dentro il sistema.

L'Europa ha le regole, ma non le ha usate

«Basato nell'UE» è un dato di registrazione societaria, non una garanzia di sicurezza. L'Europa dispone già di strumenti per verificare l'affidabilità del software. Il quadro di certificazione della cybersicurezza di ENISA prevede valutazioni indipendenti dei prodotti software (ENISA). Il Cyber Resilience Act, adottato nel 2024, include i gestori di password tra i prodotti che richiedono controlli di sicurezza documentati prima dell'arrivo sul mercato europeo (CRA). L'agenzia nazionale francese per la cybersicurezza raccomanda prodotti dotati di una certificazione formale, che Passwork non aveva. La direttiva NIS2 impone inoltre alle organizzazioni interessate di verificare le pratiche di sicurezza dei fornitori, non soltanto le fatture (NIS2).

Dalle risposte pubbliche finora disponibili, sembra che le agenzie abbiano fatto molto affidamento sull'identità europea del fornitore. Chi compra software per la pubblica amministrazione dovrebbe chiedersi chi controlli il codice, chi possa inviare aggiornamenti, chi gestisca i canali di supporto e quale revisione indipendente di sicurezza esista.

Nel luglio 2026 Supo, il servizio di sicurezza finlandese, e l'intelligence militare hanno avvertito che lo spionaggio informatico dell'FSB russo sta prendendo di mira aziende finlandesi sfruttando dispositivi di rete aziendali poco protetti (Supo, Kyberturvallisuuskeskus). Quegli avvertimenti non riguardano Passwork in modo specifico, ma spiegano perché un prodotto collegato a una società con licenza FSB dovrebbe entrare in una seria valutazione del rischio fornitore.

Il Parlamento francese ha stimato di recente che circa l'80% degli acquisti pubblici di software effettuati tramite la centrale nazionale di committenza finisca a editori americani, per circa 1,5 miliardi di euro l'anno in software non europeo (Banque des Territoires). Il caso Passwork mostra un secondo vuoto di sovranità: proprietà opache dietro etichette europee. In Germania, le linee guida su NIS2 hanno già portato il tema nei consigli di amministrazione, dove i dirigenti non possono più trattare l'accesso dei fornitori come semplice manutenzione informatica (ComplyCheck).

Quando viene meno la fiducia in una cassaforte di credenziali, disinstallare il software è soltanto l'inizio. Ogni password che vi era conservata, comprese le credenziali amministrative e quelle usate da macchine anziché da persone, va trattata come potenzialmente esposta e sostituita. Il modello zero-trust del NIST mette in guardia dall'affidarsi a un singolo livello considerato sicuro (NIST SP 800-207).

Tredicimila euro hanno comprato a tre agenzie irlandesi un gestore di password. Hanno anche consegnato all'Europa un caso di scuola su ciò che accade quando negli acquisti pubblici si controllano prezzo ed etichetta, ma non la catena di fornitura del software che custodisce le chiavi.