Parole irlandeze, furnizor cu legături FSB

Trei agenții ale statului irlandez au cheltuit recent, împreună, 13.281 € pe un manager de parole numit Passwork (Irish Times). Sumele au fost suficient de mici pentru să treacă sub pragul obișnuit al alarmelor de achiziții publice. În schimbul lor, instituțiile au primit un instrument care stochează toate parolele folosite de angajați pentru accesul la sisteme interne, platforme cloud și conturi administrative.

Cine ține cheile

O investigație transfrontalieră realizată de OCCRP, Yle, Le Monde și The Irish Times a urmărit lanțul corporativ al Passwork până la fondatori ruși (Yle). O companie-soră deținea licențe de la FSB, serviciul rus de informații, și de la FSTEC, o instituție legată de apărare și de controlul exporturilor tehnice (Le Monde). Passwork se prezenta drept o companie cu „rădăcini finlandeze” și identitate europeană. Entitatea sa finlandeză a funcționat între 2017 și 2024, iar vânzările ulterioare au fost derulate printr-o companie spaniolă. Toate cele trei agenții irlandeze au spus că au crezut că achiziționează produsul de la un furnizor din UE (Irish Times).

Anchetatorii nu au găsit dovezi că versiunea europeană ar fi conținut un backdoor, adică un cod ascuns care permite ocolirea mecanismelor normale de securitate, sau că datele clienților ar fi fost compromise (Yle). Distincția contează. În cazul unui manager de parole, însă, evaluarea nu se oprește la ce s-a întâmplat deja, ci trebuie să includă și ce ar putea să se întâmple.

Un manager de parole este, în practică, un inel cu chei principale. E-mailul, bazele de date, serviciile cloud și panourile de administrare sunt ușile; managerul de parole păstrează copii ale cheilor. CISA descrie aceste instrumente ca soluții care permit parole mai puternice și unice, dar aceeași centralizare mută riscul într-un singur punct (CISA). Un tabel compromis poate bloca un flux de lucru. Un seif de credențiale compromis poate deschide trasee către tot ce protejează.

Una dintre agenții a ales Passwork pentru că produsul putea să ruleze pe propriul server, nu în cloud. Instalarea locală limitează unele fluxuri de date, dar nu elimină dependența de furnizor. Codul unui manager de parole continuă să fie actualizat prin canale controlate de companie, adică prin ruta prin care cod nou intră în sistem după instalare. Canalele de suport și setările de configurare sunt, la rândul lor, relații de încredere care continuă după implementarea inițială (Le Monde). Dacă oricare dintre aceste canale este compromis, găzduirea locală nu protejează singură secretele din interior.

Europa are regulile, dar nu le-a folosit

„Cu sediul în UE” este o informație de registru comercial, nu o garanție de securitate. Europa are deja instrumente pentru verificarea credibilității software-ului. Cadrul de certificare în securitate cibernetică al ENISA permite evaluări independente ale produselor software (ENISA). Regulamentul privind reziliența cibernetică, adoptat în 2024, include managerii de parole printre produsele care trebuie să aibă controale de securitate documentate înainte să ajungă pe piața UE (CRA). Agenția națională franceză de securitate cibernetică recomandă produse cu certificare formală de securitate, pe care Passwork nu o avea. Separat, NIS2 cere organizațiilor vizate să verifice practicile de securitate ale furnizorilor, nu doar facturile acestora (NIS2).

Din răspunsurile publice de până acum, agențiile par să se fi bazat în mare măsură pe identitatea europeană a furnizorului. Echipele de achiziții ar trebui să întrebe cine controlează codul, cine poate trimite actualizări, cine operează canalele de suport și ce audit independent de securitate există.

Supo, serviciul finlandez de securitate, și serviciile de informații militare ale Finlandei au avertizat în iulie 2026 că spionajul cibernetic al FSB vizează activ companii finlandeze prin dispozitive de rețea corporative slab protejate (Supo, Kyberturvallisuuskeskus). Avertismentele nu se referă direct la Passwork, dar explică de ce un produs cu o companie-soră licențiată de FSB trebuie să intre într-o analiză serioasă de risc privind furnizorii.

Parlamentul Franței a estimat recent că aproximativ 80 % din achizițiile publice de software derulate prin agenția centrală de achiziții a țării merg către producători americani, adică în jur de 1,5 mld. euro pe an pentru software non-european (Banque des Territoires). Cazul Passwork arată o a doua breșă de suveranitate: proprietari opaci în spatele unor etichete europene. În Germania, ghidajul privind NIS2 a mutat deja această problemă la nivelul conducerii executive, unde managerii seniori nu mai pot trata accesul furnizorilor ca pe o simplă chestiune administrativă de IT (ComplyCheck).

Când încrederea într-un seif de credențiale se prăbușește, dezinstalarea software-ului este doar primul pas. Fiecare parolă stocată, inclusiv credențialele de administrator și parolele folosite de mașini, nu doar de oameni, trebuie tratată ca posibil expusă și schimbată. Cadrul zero-trust al NIST avertizează împotriva dependenței de un singur strat considerat de încredere (NIST SP 800-207).

Treisprezece mii de euro au cumpărat pentru trei agenții irlandeze un manager de parole. Au cumpărat și pentru Europa un studiu de caz despre ce se întâmplă când achizițiile verifică prețul și eticheta, dar nu lanțul de aprovizionare din spatele software-ului care păzește cheile.