Trei instituții publice din Irlanda au încetat să folosească Passwork, un program destinat administrării parolelor, după ce o investigație jurnalistică a documentat legături între produsul comercializat în Europa și o companie tehnologică din Rusia. Deciziile au fost confirmate în contextul unor verificări de securitate, însă autoritățile nu au anunțat că ar fi fost compromise parole sau alte informații.
Instituțiile sunt State Laboratory, laboratorul de stat care oferă analize și consultanță științifică administrației, Office of Public Works (OPW), responsabil inclusiv de clădiri publice, și Competition and Consumer Protection Commission (CCPC), autoritatea care supraveghează concurența și protecția consumatorilor.
Noutatea comunicată luni, 2 noiembrie, este că toate cele trei instituții au renunțat la program. În iulie, când The Irish Times a publicat investigația inițială, ele declaraseră că își analizează utilizarea acestuia. Este o diferență importantă între deschiderea unei evaluări și decizia de a înlocui efectiv un instrument folosit în sistemele informatice ale statului.
Ce legături au fost identificate
Passwork este un administrator de parole pentru organizații. În loc ca fiecare angajat să păstreze separat datele de acces la diferite servicii, un asemenea sistem permite stocarea și gestionarea centralizată a credențialelor, cu reguli privind cine le poate utiliza. Tocmai acest rol face ca alegerea furnizorului și controlul asupra programului să fie importante pentru securitatea unei instituții.
Produsul cumpărat de organismele irlandeze era comercializat printr-o companie cu sediul în Spania. Investigația realizată de The Irish Times împreună cu Organised Crime and Corruption Reporting Project și alte redacții europene a identificat însă asemănări între această versiune și un produs Passwork apărut în Rusia cu aproximativ 12 ani în urmă.
Potrivit investigației, cele două versiuni au la bază același cod informatic inițial, au avut actualizări asemănătoare, manuale aproape identice și aceeași identitate vizuală. La un moment dat, companiile au folosit și infrastructură comună pentru găzduire, corespondență electronică și promovare. Unul dintre fondatorii produsului rusesc a continuat să ofere sprijin tehnic pentru versiunea comercializată în Europa.
Versiunea din Rusia este vândută unor clienți ruși, inclusiv unor firme aflate sub sancțiuni europene și implicate în producția de armament. Ea a primit certificări din partea serviciului rus de securitate internă FSB și a Ministerului rus al Apărării. Acest lucru nu înseamnă că serviciile ruse au acces demonstrat la sistemele informatice ale instituțiilor irlandeze. Înseamnă însă că originea și relațiile tehnice ale produsului au devenit obiectul unor întrebări legitime.
Alexander Muntyan, proprietarul companiei care comercializează Passwork în Spania, a respins existența unei legături corporative între afacerea sa și firma rusă. El a afirmat că a cumpărat drepturile asupra programului de la o companie din Emiratele Arabe Unite și că asemănările provin din istoricul administrativ al produsului. Totodată, a respins ideea că utilizatorii ar fi expuși unui risc din cauza acestor conexiuni. Aceste poziții trebuie separate de constatările tehnice prezentate în investigație.
Ce au decis instituțiile
State Laboratory a precizat că a încetat utilizarea Passwork încă din iulie, după apariția informațiilor. Instituția a descris situația drept o posibilă vulnerabilitate de securitate care a fost luată în considerare în cadrul practicilor sale informatice. A subliniat însă că nu a găsit dovezi că datele sale ar fi fost compromise.
OPW a ales o soluție de înlocuire instalată și administrată în propria infrastructură informatică. Potrivit explicației instituției, noul sistem de gestionare a datelor de autentificare se află sub controlul echipei sale de securitate cibernetică. Înlocuirea a urmat unei revizuiri a securității.
CCPC a confirmat, la rândul său, că nu mai utilizează Passwork. În informațiile disponibile nu este precizată data exactă la care această autoritate a finalizat schimbarea, astfel că nu se poate presupune că toate cele trei instituții au acționat simultan.
Documentarea din iulie arăta că OPW folosea programul din 2022, la fel ca CCPC, în timp ce State Laboratory începuse în 2024. Contractele identificate aveau valori de ordinul miilor de euro, nu al unor proiecte informatice de mare amploare. Importanța cazului nu rezultă din costul licențelor, ci din natura informațiilor pe care un administrator de parole le poate proteja.
Instituțiile au consultat National Cyber Security Centre, centrul național de securitate cibernetică al Irlandei, după ce au aflat despre legăturile investigate. Potrivit informațiilor comunicate, centrul nu a identificat riscuri de securitate. Chiar și așa, instituțiile au decis să nu mai folosească produsul.
O schimbare preventivă, nu dovada unui atac
Există o distincție esențială între un risc potențial, o vulnerabilitate tehnică demonstrată și un incident în care datele au fost efectiv accesate de persoane neautorizate. Informațiile publicate până acum susțin prima categorie de preocupări, nu concluzia că ar fi existat spionaj sau furt de parole.
Cazul arată și de ce simpla înregistrare a unei firme într-un stat membru al Uniunii Europene nu rezolvă toate întrebările privind proveniența codului, persoanele care îl dezvoltă și relațiile dintre companii. În cazul unui program folosit pentru parole, aceste aspecte pot conta chiar dacă datele sunt păstrate pe serverele proprii ale instituției.
Pentru cetățeni, nu a fost anunțată o scurgere de date și nici o măsură care să impună schimbarea parolelor personale ca urmare a acestui caz. O asemenea recomandare nu ar avea, în prezent, o bază factuală confirmată.
Rezultatul concret este că State Laboratory, OPW și CCPC au încetat utilizarea Passwork, iar OPW a trecut la un sistem administrat intern. Autoritățile nu au prezentat dovezi privind compromiterea datelor, dar au transformat verificările declanșate după investigația din iulie în decizii efective de înlocuire a programului.
