Agências irlandesas compraram software ligado ao FSB

Três organismos do Estado irlandês gastaram recentemente, em conjunto, 13 281 euros num gestor de palavras-passe chamado Passwork (Irish Times). O valor era demasiado baixo para acionar grandes alertas de contratação pública. Mas o que estava em causa não era o montante: era uma ferramenta destinada a guardar as palavras-passe usadas por funcionários para aceder a sistemas internos, plataformas de cloud e contas administrativas.

Quem está por trás do porta-chaves

Uma investigação transfronteiriça do OCCRP, da Yle, do Le Monde e do The Irish Times seguiu a cadeia societária da Passwork até fundadores russos (Yle). Uma empresa-irmã detinha licenças do FSB, o serviço de informações russo, e da FSTEC, entidade ligada à defesa e ao controlo técnico das exportações (Le Monde). A Passwork apresentava-se como uma empresa de «raízes finlandesas» e europeia. A sua sociedade finlandesa funcionou entre 2017 e 2024; depois, as vendas passaram por uma empresa espanhola. Os três organismos irlandeses disseram acreditar que estavam a comprar a um fornecedor da União Europeia (Irish Times).

Os investigadores não encontraram prova de que a versão europeia tivesse uma backdoor, isto é, código oculto que permite contornar a segurança normal, nem de que dados de clientes tivessem sido comprometidos (Yle). A distinção é importante. Mas, num gestor de palavras-passe, a avaliação de risco não se limita ao que aconteceu; inclui necessariamente o que poderia acontecer.

Um gestor de palavras-passe é um porta-chaves central. O correio eletrónico, as bases de dados, os serviços de cloud e os painéis de administração são as portas; o gestor guarda cópias das chaves. A CISA, a agência norte-americana de cibersegurança, descreve estas ferramentas como uma forma de permitir palavras-passe mais fortes e únicas, mas essa centralização concentra também o risco num só ponto (CISA). Uma folha de cálculo comprometida perturba um fluxo de trabalho. Um cofre de credenciais comprometido abre caminhos para tudo aquilo que protege.

Um dos organismos escolheu a Passwork porque a ferramenta podia correr no seu próprio servidor, em vez de ficar alojada na cloud. A instalação local reduz alguns fluxos de dados, mas não elimina a relação de confiança com o fornecedor. O código de um gestor de palavras-passe continua a receber atualizações através de canais controlados pela empresa, precisamente o meio pelo qual novo código entra no sistema depois da instalação. Os canais de apoio técnico e as configurações também criam dependências que sobrevivem ao arranque inicial (Le Monde). Se algum desses canais for comprometido, o simples alojamento local não protege os segredos guardados no interior.

A Europa tem regras, mas não as aplicou

«Baseado na UE» é um dado de registo societário, não uma garantia de segurança. A Europa já dispõe de instrumentos para avaliar a fiabilidade de software. O quadro de certificação de cibersegurança da ENISA prevê avaliações independentes de produtos digitais (ENISA). O Regulamento da Ciber-Resiliência, adotado em 2024, inclui os gestores de palavras-passe entre os produtos que exigem controlos de segurança documentados antes de chegarem ao mercado europeu (CRA). Em França, a agência nacional de cibersegurança recomenda produtos com certificação formal, que a Passwork não tinha. A diretiva NIS2 exige, separadamente, que as organizações abrangidas avaliem as práticas de segurança dos seus fornecedores, não apenas as respetivas faturas (NIS2).

Pelas respostas públicas conhecidas até agora, os organismos irlandeses parecem ter dado peso excessivo à identidade europeia do fornecedor. As equipas de contratação deveriam perguntar quem controla o código, quem pode enviar atualizações, quem assegura o apoio técnico e que avaliação independente de segurança existe.

Em julho de 2026, o Supo, o serviço finlandês de informações, e a inteligência militar da Finlândia avisaram que a ciberespionagem do FSB estava a visar empresas finlandesas através de equipamentos de rede empresariais mal protegidos (Supo, Kyberturvallisuuskeskus). Esses alertas não dizem respeito especificamente à Passwork, mas explicam por que razão um produto associado a uma empresa-irmã licenciada pelo FSB deveria passar por uma avaliação séria de risco de fornecedor.

O Parlamento francês estimou recentemente que cerca de 80 por cento das compras públicas de software feitas através da central de compras do Estado vão para fabricantes norte-americanos, num total anual de cerca de 1,5 mil milhões de euros em software não europeu (Banque des Territoires). O caso Passwork mostra uma segunda falha de soberania: estruturas de propriedade opacas escondidas por rótulos europeus. Na Alemanha, a orientação sobre a NIS2 já levou esta responsabilidade para a administração das empresas, onde o acesso concedido a fornecedores deixou de poder ser tratado como simples manutenção informática (ComplyCheck).

Quando a confiança num cofre de credenciais se perde, desinstalar o software é apenas o primeiro passo. Todas as palavras-passe que guardava, incluindo credenciais administrativas e palavras-passe usadas por máquinas e não por pessoas, devem ser tratadas como potencialmente expostas e substituídas. O quadro de confiança zero do NIST, o instituto norte-americano de normas e tecnologia, alerta precisamente contra a dependência de uma única camada considerada fiável (NIST SP 800-207).

Treze mil euros compraram a três organismos irlandeses um gestor de palavras-passe. Compraram também à Europa um estudo de caso sobre o que acontece quando a contratação pública verifica o preço e o rótulo, mas não a cadeia de fornecimento do software que guarda as chaves.