Irland köpte lösenordsverktyg med FSB-koppling

Tre irländska statliga myndigheter har nyligen lagt sammanlagt 13 281 euro på lösenordshanteraren Passwork (Irish Times). Beloppen var så små att de knappast väckte någon upphandlingsvarning. Men produkten de köpte var inte perifer. Den lagrar lösenorden som personalen använder för att komma åt interna system, molntjänster och administrativa konton.

Vem håller i nyckelknippan

En gränsöverskridande granskning av OCCRP, Yle, Le Monde och The Irish Times har spårat Passworks bolagskedja tillbaka till ryska grundare (Yle). Ett systerbolag hade licenser från den ryska säkerhetstjänsten FSB och från FSTEC, en myndighet med koppling till försvar och teknisk exportkontroll (Le Monde). Passwork marknadsförde sig samtidigt som europeiskt och med finländska rötter. Det finländska bolaget var verksamt 2017–2024, och därefter skedde försäljningen via ett spanskt bolag. Alla tre irländska myndigheter uppgav att de trodde att de köpte från en EU-leverantör (Irish Times).

Granskarna har inte hittat bevis för att den europeiska versionen innehöll en bakdörr, alltså dold kod som gör det möjligt att ta sig förbi normal säkerhet, eller för att kunddata hade röjts (Yle). Den skillnaden är viktig. Men för en lösenordshanterare räcker det inte att fråga vad som har hänt. Man måste också fråga vad som kan hända.

En lösenordshanterare fungerar som en huvudnyckel. E-post, databaser, molntjänster och administrationspaneler är dörrarna; lösenordshanteraren förvarar kopior av nycklarna. Den amerikanska cybersäkerhetsmyndigheten CISA beskriver sådana verktyg som ett sätt att använda starkare och unika lösenord, men samma centralisering samlar också risken på ett ställe (CISA). Ett komprometterat kalkylprogram stör ett arbetsflöde. Ett komprometterat lösenordsvalv kan öppna vägar in i allt det skyddar.

En av myndigheterna valde Passwork eftersom verktyget kunde köras på myndighetens egen server i stället för i molnet. Lokal drift kan begränsa vissa dataflöden. Men en lösenordshanterares kod uppdateras fortfarande via kanaler som leverantören kontrollerar, och det är där ny kod förs in i systemet efter installationen. Supportkanaler och konfigurationsinställningar är också förtroendeförhållanden som består långt efter upphandlingen (Le Monde). Om någon av de kanalerna komprometteras skyddar lokal drift inte i sig hemligheterna i valvet.

Europa har reglerna men använde dem inte

"EU-baserat" är en uppgift om bolagsregistrering, inte en säkerhetsgaranti. Europa har redan verktyg för att pröva programvarors tillförlitlighet. EU:s cybersäkerhetsbyrå Enisa har ett certifieringsramverk för oberoende granskning av digitala produkter (ENISA). Cyber Resilience Act, som antogs 2024, placerar lösenordshanterare bland produkter som måste ha dokumenterade säkerhetskontroller innan de släpps ut på EU-marknaden (CRA). Frankrikes nationella cybersäkerhetsmyndighet rekommenderar produkter med formell säkerhetscertifiering, något Passwork inte hade. NIS2-direktivet kräver dessutom att berörda organisationer granskar leverantörers säkerhetsrutiner, inte bara deras fakturor (NIS2).

Av de offentliga svaren hittills att döma verkar myndigheterna i hög grad ha lutat sig mot leverantörens europeiska identitet. En relevant upphandlingsprövning bör i stället börja med andra frågor: vem kontrollerar koden, vem kan skicka ut uppdateringar, vilka bemannar supporten och vilken oberoende säkerhetsgranskning finns?

Finlands skyddspolis Supo och den militära underrättelsetjänsten varnade i juli 2026 för att rysk FSB-kopplad cyberspionageverksamhet aktivt riktas mot finländska företag via dåligt skyddade nätverksenheter (Supo, Cybersäkerhetscentret). De varningarna gäller inte Passwork specifikt. De visar ändå varför en produkt med ett FSB-licensierat systerbolag hör hemma i en seriös leverantörsgranskning.

Frankrikes parlament uppskattade nyligen att omkring 80 % av den offentliga mjukvaruupphandling som sker via landets centrala upphandlingsmyndighet går till amerikanska leverantörer, motsvarande cirka 1,5 miljarder euro per år på icke-europeisk programvara (Banque des Territoires). Passwork-fallet visar en annan lucka i den digitala suveräniteten: oklara ägarförhållanden bakom europeiska etiketter. I Tyskland har NIS2-vägledning redan gjort frågan till ett ledningsansvar, där högsta chefer inte längre kan behandla leverantörsåtkomst som vanlig IT-administration (ComplyCheck).

När förtroendet för ett lösenordsvalv faller räcker det inte att avinstallera programmet. Varje lösenord som har lagrats där, inklusive administratörslösenord och maskinlösenord som används av system snarare än människor, måste behandlas som potentiellt röjt och bytas ut. NIST:s ramverk för zero trust varnar för att bygga säkerheten på ett enda betrott lager (NIST SP 800-207).

För 13 281 euro fick tre irländska myndigheter en lösenordshanterare. Europa fick samtidigt en fallstudie i vad som händer när upphandlingen kontrollerar priset och etiketten, men inte leverantörskedjan bakom den programvara som vaktar nycklarna.