Irlandzkie urzędy kupiły rosyjskie hasła

Trzy irlandzkie instytucje publiczne wydały ostatnio łącznie 13 281 EUR na Passwork, menedżer haseł używany do przechowywania danych dostępowych pracowników do systemów wewnętrznych, chmury i kont administracyjnych (Irish Times). Kwota była zbyt mała, by uruchomić poważniejsze alarmy zakupowe. Problem polega na tym, że w cyberbezpieczeństwie wartość faktury często ma niewiele wspólnego z wartością ryzyka.

Kto trzyma pęk kluczy

Śledztwo OCCRP, Yle, Le Monde i „The Irish Times” odtworzyło łańcuch właścicielski Passworka aż do rosyjskich założycieli (Yle). Spółka siostrzana miała licencje rosyjskiej FSB oraz FSTEC, instytucji powiązanej z kontrolą obronną i eksportem technologii (Le Monde). Sam Passwork sprzedawał się jako firma „fińskiego pochodzenia” i europejski dostawca. Fiński podmiot działał w latach 2017-2024, później sprzedaż prowadzono przez spółkę hiszpańską. Wszystkie trzy irlandzkie agencje twierdzą, że były przekonane, iż kupują produkt od dostawcy z UE (Irish Times).

Dziennikarze nie znaleźli dowodu, że europejska wersja programu zawierała backdoor, czyli ukryty mechanizm pozwalający obejść normalne zabezpieczenia, ani że dane klientów zostały przejęte (Yle). To rozróżnienie jest ważne. Przy menedżerze haseł samo pytanie o stwierdzony incydent nie wystarcza. Trzeba pytać także o to, co taki dostawca mógłby zrobić, gdyby kanał zaufania został wykorzystany.

Menedżer haseł jest cyfrowym pękiem kluczy głównych. Poczta, bazy danych, usługi chmurowe i panele administracyjne są drzwiami; program przechowuje kopie kluczy do nich wszystkich. Amerykańska CISA opisuje takie narzędzia jako sposób na stosowanie silniejszych, unikalnych haseł, ale ta sama centralizacja przenosi ryzyko w jedno miejsce (CISA). Przejęcie arkusza kalkulacyjnego paraliżuje jeden proces. Przejęcie sejfu z poświadczeniami otwiera drogi do wszystkiego, czego ten sejf strzegł.

Jedna z agencji wybrała Passworka dlatego, że można go było uruchomić na własnym serwerze, a nie w chmurze. Lokalna instalacja ogranicza część przepływów danych. Nie usuwa jednak zależności od producenta. Kod menedżera haseł nadal otrzymuje aktualizacje kanałami kontrolowanymi przez dostawcę, a właśnie nimi po instalacji trafiają do systemu nowe wersje programu. Kanały wsparcia i ustawienia konfiguracyjne też są relacjami zaufania, które trwają długo po pierwszym wdrożeniu (Le Monde). Jeżeli którykolwiek z tych kanałów zostanie przejęty, samo hostowanie u siebie nie ochroni sekretów zapisanych w aplikacji.

Europa ma reguły, ale ich nie użyła

„Dostawca z UE” oznacza wpis w rejestrze spółek, nie gwarancję bezpieczeństwa. Europa ma już instrumenty do sprawdzania wiarygodności oprogramowania. Ramy certyfikacji cyberbezpieczeństwa ENISA przewidują niezależną ocenę produktów cyfrowych (ENISA). Akt o cyberodporności, przyjęty w 2024 r., zalicza menedżery haseł do produktów wymagających udokumentowanych kontroli bezpieczeństwa przed wejściem na rynek UE (CRA). Francuska agencja cyberbezpieczeństwa rekomenduje produkty z formalną certyfikacją bezpieczeństwa, której Passwork nie miał. Dyrektywa NIS2 osobno wymaga od objętych nią organizacji weryfikowania praktyk bezpieczeństwa dostawców, a nie tylko ich faktur (NIS2).

Z dotychczasowych publicznych odpowiedzi wynika, że irlandzkie agencje w dużym stopniu oparły się na europejskiej tożsamości sprzedawcy. W zakupach takiego oprogramowania właściwe pytania są inne: kto kontroluje kod, kto może wypychać aktualizacje, kto obsługuje wsparcie techniczne i jaka niezależna ocena bezpieczeństwa została przeprowadzona.

Fińska Supo oraz wywiad wojskowy ostrzegły w lipcu 2026 r., że cyberszpiegostwo FSB aktywnie uderza w fińskie firmy przez słabo zabezpieczone urządzenia sieciowe w przedsiębiorstwach (Supo, Kyberturvallisuuskeskus). To nie są ostrzeżenia dotyczące Passworka. Pokazują jednak, dlaczego produkt powiązany ze spółką mającą licencję FSB powinien trafić do poważnego przeglądu ryzyka dostawcy.

Francuski parlament oszacował niedawno, że około 80% publicznych zakupów oprogramowania przez centralną agencję zamówień trafia do amerykańskich wydawców, co oznacza około 1,5 mld EUR rocznie wydawanych na pozaeuropejskie oprogramowanie (Banque des Territoires). Sprawa Passworka odsłania drugą lukę suwerennościową: nieprzejrzystą własność ukrytą za europejską etykietą. Niemieckie wytyczne do NIS2 przesuwają już tę odpowiedzialność na poziom zarządów, gdzie dostęp dostawców do systemów nie może być traktowany jak zwykła sprawa działu IT (ComplyCheck).

Gdy zaufanie do sejfu z poświadczeniami upada, odinstalowanie programu jest dopiero początkiem. Każde zapisane w nim hasło, w tym poświadczenia administratorów i hasła używane przez maszyny, a nie ludzi, trzeba traktować jako potencjalnie ujawnione i zmienić. Amerykański NIST w modelu zero trust ostrzega właśnie przed opieraniem bezpieczeństwa na jednej zaufanej warstwie (NIST SP 800-207).

Za 13 281 EUR trzy irlandzkie agencje kupiły menedżer haseł. Europa dostała przy tym studium przypadku: co się dzieje, gdy zamówienia publiczne sprawdzają cenę i etykietę, ale nie łańcuch dostaw stojący za oprogramowaniem, które pilnuje kluczy.