Írske úrady kupovali nástroj s väzbami na FSB

Tri írske štátne agentúry nedávno minuli spolu 13 281 € na správcu hesiel Passwork (Irish Times). Suma bola taká nízka, že v obstarávaní nevyvolala väčšiu pozornosť. Za tieto peniaze však úrady získali nástroj, ktorý uchováva heslá zamestnancov k interným systémom, cloudovým službám aj administrátorským účtom.

Kto drží zväzok kľúčov

Cezhraničné vyšetrovanie OCCRP, Yle, Le Monde a The Irish Times vystopovalo firemnú štruktúru Passworku k ruským zakladateľom (Yle). Sesterská spoločnosť mala licencie od ruskej spravodajskej služby FSB a od FSTEC, úradu napojeného na obranu a kontrolu technického vývozu (Le Monde). Passwork sa pritom prezentoval ako európska firma s „fínskymi koreňmi“. Fínska entita fungovala od roku 2017 do roku 2024, neskôr predaj prebiehal cez španielsku spoločnosť. Všetky tri írske agentúry uviedli, že si mysleli, že nakupujú od dodávateľa z EÚ (Irish Times).

Vyšetrovatelia nenašli dôkaz, že európska verzia obsahovala zadné vrátka, teda skrytý kód umožňujúci obísť bežné zabezpečenie, ani dôkaz, že by boli kompromitované zákaznícke dáta (Yle). Tento rozdiel je dôležitý. Pri správcovi hesiel však nestačí pýtať sa len na to, čo sa stalo, ale aj na to, čo by sa stať mohlo.

Správca hesiel je v praxi hlavný zväzok kľúčov. E-mail, databázy, cloudové služby a administrátorské panely sú dvere; správca hesiel drží kópie kľúčov ku všetkým. Americká agentúra CISA opisuje tieto nástroje ako spôsob, ako používať silnejšie a jedinečné heslá, no rovnaká centralizácia sústreďuje riziko na jedno miesto (CISA). Kompromitovaný tabuľkový nástroj naruší jeden pracovný postup. Kompromitovaný trezor prihlasovacích údajov ponúka cesty do všetkého, čo chráni.

Jedna z agentúr si Passwork vybrala preto, že ho mohla prevádzkovať na vlastnom serveri, nie v cloude. Lokálna prevádzka naozaj obmedzuje niektoré dátové toky. Kód správcu hesiel sa však stále aktualizuje cez kanály, ktoré kontroluje dodávateľ; práve nimi sa po inštalácii dostáva do systému nový kód. Aj podpora a konfiguračné nastavenia sú vzťahy dôvery, ktoré trvajú dávno po prvotnom nasadení (Le Monde). Ak sa naruší niektorý z týchto kanálov, samotné lokálne hosťovanie tajné údaje vo vnútri neochráni.

Európa pravidlá má, no nepoužila ich

„So sídlom v EÚ“ je údaj z obchodného registra, nie bezpečnostná záruka. Európa už má nástroje na overovanie dôveryhodnosti softvéru. Certifikačný rámec agentúry ENISA pre kybernetickú bezpečnosť umožňuje nezávislé posudzovanie softvérových produktov (ENISA). Akt o kybernetickej odolnosti prijatý v roku 2024 zaraďuje správcov hesiel medzi produkty, ktoré pred vstupom na trh EÚ potrebujú zdokumentované bezpečnostné kontroly (CRA). Francúzska národná agentúra pre kybernetickú bezpečnosť odporúča produkty s formálnou bezpečnostnou certifikáciou, ktorú Passwork nemal. Smernica NIS2 osobitne vyžaduje, aby dotknuté organizácie preverovali bezpečnostné postupy dodávateľov, nielen ich faktúry (NIS2).

Z doterajších verejných reakcií vyplýva, že agentúry sa výrazne opreli o európsku identitu dodávateľa. Obstarávanie by sa však malo pýtať aj na to, kto kontroluje kód, kto môže posielať aktualizácie, kto obsluhuje podporu a aké nezávislé bezpečnostné posúdenie produkt má.

Fínska kontrarozviedka Supo a vojenské spravodajstvo v júli 2026 varovali, že kybernetická špionáž ruskej FSB aktívne cieli na fínske firmy cez slabo chránené podnikové sieťové zariadenia (Supo, Kyberturvallisuuskeskus). Tieto varovania sa netýkajú konkrétne Passworku, ale ukazujú, prečo produkt so sesterskou firmou licencovanou FSB patrí do seriózneho preverovania dodávateľského rizika.

Francúzsky parlament nedávno odhadol, že približne 80 % verejných nákupov softvéru cez centrálnu obstarávaciu agentúru krajiny smeruje k americkým vydavateľom, čo predstavuje asi 1,5 mld. € ročne na mimoeurópsky softvér (Banque des Territoires). Prípad Passworku ukazuje druhú medzeru v digitálnej suverenite: neprehľadné vlastníctvo skryté za európskymi nálepkami. Nemecké usmernenia k NIS2 už posunuli túto otázku na úroveň vedenia firiem, kde manažéri nemôžu prístup dodávateľov považovať za bežnú údržbu IT (ComplyCheck).

Keď sa dôvera v trezor prihlasovacích údajov zrúti, odinštalovanie softvéru je iba začiatok. Každé heslo, ktoré uchovával, vrátane administrátorských údajov a hesiel používaných strojmi namiesto ľudí, treba považovať za potenciálne odhalené a vymeniť. Rámec nulovej dôvery amerického NIST upozorňuje, že bezpečnosť sa nemá opierať o jedinú dôveryhodnú vrstvu (NIST SP 800-207).

Trinásťtisíc eur kúpilo trom írskym agentúram správcu hesiel. Európe zároveň prinieslo prípadovú štúdiu o tom, čo sa stane, keď obstarávanie skontroluje cenu a štítok, ale nie dodávateľský reťazec softvéru, ktorý stráži kľúče.