Ierse diensten kochten FSB-gelinkte wachtwoordsoftware

Drie Ierse overheidsinstanties gaven onlangs samen € 13.281 uit aan Passwork, een wachtwoordmanager (Irish Times). Het bedrag was klein genoeg om onder de radar van de aanbestedingscontrole te blijven. Voor dat geld kregen de diensten wel software die alle wachtwoorden bewaart waarmee medewerkers inloggen op interne systemen, cloudplatforms en beheerdersaccounts.

Wie beheert de sleutelbos

Een grensoverschrijdend onderzoek van OCCRP, Yle, Le Monde en The Irish Times herleidde de ondernemingsstructuur achter Passwork tot Russische oprichters (Yle). Een zusterbedrijf beschikte over licenties van de Russische inlichtingendienst FSB en van FSTEC, een instantie die verbonden is met defensie en technische exportcontrole (Le Monde). Passwork presenteerde zich als een bedrijf met Finse wortels en een Europese basis. De Finse entiteit bestond van 2017 tot 2024; latere verkopen liepen via een Spaanse onderneming. Alle drie de Ierse instanties zeiden dat zij dachten zaken te doen met een EU-leverancier (Irish Times).

De onderzoekers vonden geen bewijs dat de Europese versie een achterdeur bevatte, dus verborgen code waarmee iemand de normale beveiliging kan omzeilen. Ook is niet aangetoond dat klantgegevens zijn buitgemaakt (Yle). Dat onderscheid doet ertoe. Bij een wachtwoordmanager gaat de vraag alleen niet alleen over wat er is gebeurd, maar ook over wat er kan gebeuren.

Een wachtwoordmanager is de hoofdsleutelbos van een organisatie. E-mail, databases, clouddiensten en beheerderspanelen zijn de deuren; de wachtwoordmanager bewaart kopieën van de sleutels. CISA beschrijft zulke tools terecht als een manier om sterkere en unieke wachtwoorden mogelijk te maken, maar dezelfde centralisatie legt het risico ook op één plek (CISA). Een besmet spreadsheetprogramma verstoort één werkproces. Een besmette kluis met inloggegevens opent routes naar alles wat die kluis beschermt.

Een van de instanties koos Passwork omdat de software op de eigen server kon draaien, in plaats van in de cloud. Lokale hosting beperkt sommige gegevensstromen inderdaad. Maar de code van een wachtwoordmanager krijgt nog steeds updates via kanalen die de leverancier beheert; langs die route komt na installatie nieuwe code het systeem binnen. Ook supportkanalen en configuratie-instellingen blijven vertrouwensrelaties nadat de eerste installatie is afgerond (Le Monde). Als een van die kanalen wordt gecompromitteerd, beschermt lokale hosting op zichzelf de geheimen in de kluis niet.

Europa heeft de regels, maar gebruikte ze niet

"Gevestigd in de EU" is een feit uit het handelsregister, geen beveiligingsgarantie. Europa heeft al instrumenten om de betrouwbaarheid van software te toetsen. Het cybersecuritycertificeringskader van ENISA voorziet in onafhankelijke beoordeling van softwareproducten (ENISA). De Cyber Resilience Act, aangenomen in 2024, schaart wachtwoordmanagers onder producten waarvoor gedocumenteerde beveiligingscontroles nodig zijn voordat zij op de EU-markt komen (CRA). De Franse nationale cybersecuritydienst beveelt producten met een formele beveiligingscertificering aan; Passwork had die niet. NIS2 verplicht betrokken organisaties bovendien om de beveiligingspraktijken van leveranciers te beoordelen, niet alleen hun facturen (NIS2).

Uit de publieke reacties tot nu toe blijkt vooral dat de instanties sterk leunden op de Europese identiteit van de leverancier. Inkoopteams zouden moeten vragen wie de code controleert, wie updates kan uitrollen, wie de supportkanalen bemant en welke onafhankelijke beveiligingscontrole er is uitgevoerd.

De Finse veiligheidsdienst Supo en de militaire inlichtingendienst waarschuwden in juli 2026 dat Russische FSB-cyberspionage actief Finse bedrijven benadert via slecht beveiligde netwerkapparatuur voor ondernemingen (Supo, Kyberturvallisuuskeskus). Die waarschuwingen gaan niet specifiek over Passwork. Ze laten wel zien waarom een product met een zusterbedrijf met FSB-licentie thuishoort in een serieuze leveranciersrisicobeoordeling.

Het Franse parlement schatte onlangs dat ongeveer 80% van de publieke softwareaankopen via de centrale inkooporganisatie van het land naar Amerikaanse uitgevers gaat: circa € 1,5 miljard per jaar aan niet-Europese software (Banque des Territoires). De zaak-Passwork legt een tweede gat in de soevereiniteitsdiscussie bloot: ondoorzichtige eigendomsstructuren achter Europese etiketten. In Duitsland heeft NIS2-richtlijn de kwestie inmiddels tot bestuurskamerverantwoordelijkheid gemaakt. Senior managers kunnen leverancierstoegang niet langer behandelen als technisch beheer (ComplyCheck).

Als het vertrouwen in een kluis met inloggegevens wegvalt, begint het werk pas bij het verwijderen van de software. Elk wachtwoord dat erin stond, inclusief beheerdersgegevens en wachtwoorden die machines gebruiken in plaats van mensen, moet als mogelijk blootgesteld worden behandeld en vervangen. Het zero-trustkader van NIST waarschuwt immers tegen vertrouwen op één enkele beveiligingslaag (NIST SP 800-207).

Dertienduizend euro leverde drie Ierse overheidsdiensten een wachtwoordmanager op. Het leverde Europa ook een nuttige casus op: wat er gebeurt als inkoop wel naar prijs en etiket kijkt, maar niet naar de toeleveringsketen achter de software die de sleutels bewaakt.