Salasananhallinta on yksi tietoturvan kulmakivistä, ja juuri siksi heinäkuun 2026 paljastus iski niin kovaa. Tutkintajärjestö OCCRP julkisti 17. heinäkuuta 2026 yhdessä kumppaneidensa Investico, NU.nl, De Groene Amsterdammer, Le Monde, De Tijd ja VSquare kanssa selvityksen, jonka mukaan Passwork-salasananhallintaohjelmisto, jota käytetään eurooppalaisissa valtionhallinnon virastoissa, yliopistoissa ja yrityksissä, on todellisuudessa kehitetty Venäjällä ja jakaa lähdekoodinsa Venäjän turvallisuuspalvelu FSB:n sertifioiman sisaryhtiön kanssa. Yhtiö on markkinoinut itseään espanjalaisena ja ajoittain jopa suomalaisena tuotteena. Elokuun lopulla 2026 tapaus on yhä kesken: eurooppalaiset virastot arvioivat riskejään, tietoturvatutkijat vaativat pakotteita, ja koko toimittajaketjun läpinäkyvyys on noussut uudella tavalla pöydälle myös Pohjoismaissa.
Mitä tapahtui: OCCRP:n tutkinta paljasti Passworkin venäläisjuuret
OCCRP:n 17. heinäkuuta 2026 julkaisema tutkinta kuvaa tapausta, jossa yritys tunnettu nimellä Passwork on esiintynyt eurooppalaisena, EU:ssa kehitettynä ohjelmistona vuosikausia. Todellisuudessa tuote syntyi Venäjällä vuonna 2014, ja sen alkuperäinen kotipaikka on Arhangelsk. Kaksi venäläistä perustajaa siirsi yrityksen eurooppalaisen kuoren, Passwork Europe S.L. -nimisen yhtiön, Espanjaan Venäjän täysimittaisen Ukrainan-hyökkäyksen jälkeen vuonna 2022. Samaan aikaan venäläinen sisaryhtiö Passwork LLC jatkoi toimintaansa Venäjällä muuttumattomana.
Tutkinnan ydinlöydös ei ole pelkkä yhteinen tausta, vaan tekninen todiste yhteydestä. GBHackersin analyysin mukaan Passwork Europe ja Passwork LLC jakavat saman lähdekoodin, lähes identtiset asennusskriptit ja synkronoidun julkaisuaikataulun. Päivitykset kulkevat eurooppalaisille asiakkaille Arabiemiraateissa toimivan välikäden kautta, jota alkuperäiset venäläiset perustajat edelleen ohjaavat. Käytännössä tämä tarkoittaa, että sama koodi, joka on läpikäynyt venäläisen turvallisuusviranomaisen tarkastuksen, päätyy sellaisenaan eurooppalaisten virastojen palvelimille.
Passwork lyhyesti: mikä yhtiö on kyseessä
Passwork markkinoi itseään tiimeille ja yrityksille suunnattuna salasananhallintana, joka toimii sekä pilvipalveluna että itseisännöitynä ratkaisuna. Kohderyhmänä on ollut erityisesti julkinen sektori ja kriittinen infrastruktuuri, ja markkinoinnissa on korostettu paikallisasennuksen tuomaa “täyttä hallintaa datasta”. Juuri tämä lupaus on tehnyt paljastuksesta niin kiusallisen: organisaatiot valitsivat Passworkin osittain siksi, että se vaikutti turvallisemmalta vaihtoehdolta kuin yhdysvaltalaiset pilvipalvelut.
Tuotteen tekniset ominaisuudet, kuten roolipohjainen käyttöoikeuksien hallinta, salasanojen jakaminen tiimien kesken ja integraatiot yritysjärjestelmiin, eivät poikkea merkittävästi kilpailijoiden vastaavista. Passworkin erottava tekijä markkinoinnissa on aina ollut nimenomaan väitetty eurooppalainen alkuperä ja siitä johdettu luottamus, ei tekninen ylivoima. Tämä selittää osaltaan, miksi paljastus koettiin niin raskaana juuri niissä organisaatioissa, jotka valitsivat tuotteen tietoisesti välttääkseen yhdysvaltalaisia tai muita ulkomaisia riippuvuuksia.
Espanjalainen kuori, venäläinen ydin
Muodollisesti Passworkia myy Espanjassa rekisteröity Passwork Europe S.L. Le Monden mukaan yhtiö on käyttänyt markkinoinnissaan iskulauseita kuten “Made in EU”, ja joissakin materiaaleissa tuotetta on kuvattu jopa suomalaisperäiseksi. Todellisuudessa tekninen kehitystyö ja koodin ylläpito ovat pysyneet Venäjä-yhteydessä koko ajan, vain yhtiön juridinen osoite on vaihtunut.
FSB- ja FSTEC-sertifiointi: mitä se tarkoittaa käytännössä
Venäläinen Passwork LLC on sertifioitu sekä FSTEC:n (Venäjän puolustusministeriöön kytköksissä oleva teknisen ja vientivalvonnan viranomainen) että FSB:n toimesta. Statewatchin analyysin mukaan yhtiö sai vuonna 2025 FSB:ltä luvan, joka oikeuttaa salaustyökalujen kryptografiseen käsittelyyn. Venäjän lainsäädännössä tällaisen luvan saaminen edellyttää käytännössä yksityiskohtaista teknistä dokumentaatiota, jonka avulla viranomaiset voivat tunnistaa ohjelmiston haavoittuvuudet, tai vähintäänkin arvioida niitä syvällisesti.
Tässä piilee koko tapauksen ydinongelma. Salasananhallinta on ohjelmisto, jonka koko tarkoitus on olla luottamuksen keskipiste: sinne tallennetaan pääsy sähköpostiin, VPN-yhteyksiin, hallintajärjestelmiin ja pilvipalveluihin. Jos saman koodikannan yksityiskohdat ovat olleet Venäjän turvallisuuspalvelun ulottuvilla, minkä tahansa eurooppalaisen asiakkaan salasanaholvin luottamuksellisuutta ei voi enää pitää itsestäänselvyytenä, vaikka suoraa väärinkäyttöä ei olisikaan vielä osoitettu.
Ketkä käyttävät Passworkia Euroopassa
OCCRP:n konsortio nimeää useita todellisia asiakkaita ilman tarkkaa kokonaismäärää. Julkisuuteen nousseiden tapausten joukossa on irlantilaisia valtionhallinnon virastoja, saksalainen kunnallishallinto ja saksalaisia yliopistoja, ranskalainen satama sekä useita hollantilaisia yrityksiä, joista osa toimii määritellyllä kriittisen infrastruktuurin alalla. Venäjän puolella tuotteen käyttäjiin kuuluvat puolestaan Gazprom, Transneft, Venäjän puolustusministeriö ja FSB itse, mikä havainnollistaa, kuinka lähellä toisiaan siviili- ja valtiokäyttö tässä tapauksessa ovat.
Suomesta tai muualta Pohjoismaista ei ole vielä elokuuhun 2026 mennessä vahvistunut nimettyjä virastoasiakkaita julkisessa raportoinnissa, mutta koska yhtiö on aktiivisesti markkinoinut itseään myös suomalaisperäisenä tuotteena, alueellinen riski ei ole vain teoreettinen. Kyberturvallisuuskeskuksen kaltaisten viranomaisten kannattaa käydä oma toimittajarekisterinsä läpi tapauksen valossa, sillä salasananhallintaohjelmistoja ostetaan usein IT-osaston tason päätöksinä ilman kansallisen turvallisuuden arviointia.
Määrällisesti tarkkaa asiakasmäärää ei kumpikaan osapuoli ole julkistanut. OCCRP:n konsortio kuvaa tilannetta toistuvasti ilmauksilla kuten “useita eurooppalaisia yrityksiä, joilla on vitaali-infrastruktuuria” ja “julkisia elimiä, yliopistoja ja yrityksiä”, mikä viittaa satoihin, ei vain kourallisiin organisaatioasiakkaisiin. Tämä epätarkkuus on itsessään osa ongelmaa: koska Passwork ei ole julkaissut asiakaslistaansa eikä kertonut, moniko sen käyttäjistä toimii kriittisellä sektorilla, kukin organisaatio joutuu nyt itse selvittämään, onko juuri sen käyttämä versio yhteydessä venäläiseen koodikantaan.
Tietoturva-analyytikkojen arvio: valtiotason riski
OCCRP:n omassa tiedotteessa asiantuntijat kuvaavat järjestelyä “valtiotason turvallisuusriskiksi”, koska kyse ei ole tavallisesta ohjelmistohaavoittuvuudesta vaan rakenteellisesta riippuvuudesta ulkomaisesta, valtion valvomasta koodikannasta. Statewatchin analyysi menee pidemmälle ja ehdottaa, että Passwork tulisi ottaa mukaan EU:n pakotelistoihin FSB-lisensoinnin ja kaksoiskäytön (venäläinen puolustussektori ja EU:n julkishallinto) vuoksi.
Riskiarvion ydin on yksinkertainen: kryptografialupa Venäjällä ei ole muodollisuus. Se antaa viranomaisille käytännössä oikeuden vaatia yhtiöltä yhteistyötä, mukaan lukien pääsy koodiin ja tekniseen dokumentaatioon. Kun sama koodi liikkuu synkronoidusti kohti eurooppalaisia asiakkaita, mikä tahansa Venäjällä havaittu tai istutettu heikkous voi periaatteessa kulkeutua myös EU:n puolelle, ilman että kumpikaan osapuoli edes tietäisi siitä ennen kuin vahinko on jo tapahtunut.
Tärkeä ero muihin toimitusketjuriskeihin on ajoitus. Perinteisessä ohjelmistohaavoittuvuudessa organisaatio voi asentaa korjauksen, kun se julkaistaan. Passworkin tapauksessa ongelma ei ratkea päivityksellä, koska päivitykset itsessään tulevat samasta, kyseenalaisesta ketjusta. Ainoa aito korjaus on toimittajanvaihto, mikä selittää, miksi useat asiantuntijat suosittelevat organisaatioille nopeaa siirtymistä vaihtoehtoisiin, auditoitaviin ratkaisuihin sen sijaan, että ne jäisivät odottamaan Passworkilta selvitystä omasta rakenteestaan.
“Suomalainen alkuperä”: harhaanjohtava markkinointiväite
Yksi tutkinnan yksityiskohdista koskettaa suoraan pohjoismaista yleisöä. Useissa lähteissä mainitaan, että Passwork on markkinoinut tuotettaan paitsi espanjalaisena myös suomalaisperäisenä, ilmeisesti hyödyntäen Suomen mainetta luotettavana kyberturvallisuusosaajana. Tällainen brändäys on ollut omiaan madaltamaan hankintakynnystä juuri niissä organisaatioissa, jotka muuten suhtautuisivat venäläistaustaisiin ohjelmistoihin äärimmäisen varauksellisesti.
Ilmiö ei ole ainutlaatuinen. Ohjelmistotoimittajat, jotka haluavat kiertää kasvavaa epäluottamusta venäläistaustaisia teknologioita kohtaan, ovat aiemminkin hyödyntäneet mainehyötyä tuovia maabrändejä, olipa kyse sitten Suomesta, Sveitsistä tai Virosta. Passwork-tapaus toimii nyt konkreettisena muistutuksena siitä, että maabrändi markkinointimateriaalissa ei kerro mitään yhtiön todellisesta omistus- tai kehitysrakenteesta.
Suomalainen kyberturvallisuusala on rakentanut mainettaan vuosikymmenten ajan, F-Securesta lähtien, ja juuri tämä maine on nyt arvokas resurssi myös ulkopuolisille toimijoille, jotka haluavat lainata sitä omaan markkinointiinsa. Kun tuote esiintyy suomalaisena ilman todellista sidettä maahan, se ei ainoastaan johda asiakkaita harhaan, vaan syö myös aidosti suomalaisten yhtiöiden uskottavuuspääomaa pitkällä aikavälillä.
Vertailukohta: Kaspersky ja aiemmat venäläistaustaiset kiellot
Passwork ei ole ensimmäinen kerta, kun venäläistaustainen ohjelmisto herättää epäilyksiä länsimaisissa hallinnoissa. Yhdysvaltain kauppaministeriö kielsi Kaspersky Labin virustorjuntaohjelmiston myynnin maassa kesäkuussa 2024 kansallisen turvallisuuden perusteella, ja useat EU-maat ovat vuodesta 2022 lähtien suositelleet virastoilleen Kasperskyn välttämistä samasta syystä. Näissä tapauksissa huoli koski ohjelmiston laajaa pääsyä käyttäjän tietokoneeseen ja mahdollisuutta etäpäivityksiin, jotka voisivat teoriassa sisältää haitallista koodia.
Passwork-tapaus eroaa Kaspersky-keskustelusta yhdellä olennaisella tavalla: se ei koskaan markkinoinut itseään venäläisenä. Kaspersky on aina ollut avoimesti venäläinen yhtiö, jonka riskit ovat olleet tiedossa ja arvioitavissa. Passwork sen sijaan rakensi tietoisesti eurooppalaisen, jopa suomalaisen, identiteetin juuri välttääkseen sen kaltaisen tarkastelun, jota Kaspersky on joutunut kestämään vuosia. Juuri tämä salailu tekee tapauksesta OCCRP:n ja Statewatchin mukaan vakavamman: kyse ei ole vain riskialttiista toimittajasta, vaan tietoisesta harhaanjohtamisesta, joka on onnistunut ohittamaan tavanomaiset hankintaprosessin turvatarkastukset.
Passwork verrattuna muihin salasananhallintaohjelmiin
Alla oleva vertailu asettaa Passworkin rinnalle muita markkinoiden tunnettuja salasananhallintaratkaisuja. Vertailu ei ole tekninen ominaisuusvertailu vaan alkuperän ja toimitusketjun läpinäkyvyyden vertailu, joka on juuri se ulottuvuus, jonka OCCRP:n tutkinta nosti esiin.
| Ohjelmisto | Alkuperämaa | Isännöintimalli | Toimitusketjun tilanne 2026 |
|---|---|---|---|
| Passwork | Venäjä (2014), markkinoitu Espanjasta/Suomesta | Pilvi ja itseisännöity | Jaettu koodikanta FSB-sertifioidun venäläisen sisaryhtiön kanssa |
| Bitwarden | Yhdysvallat | Pilvi, itseisännöity, avoin lähdekoodi | Säännöllisesti kolmannen osapuolen auditoima, koodi julkisesti tarkastettavissa |
| Vaultwarden | Yhteisöprojekti (Bitwarden-yhteensopiva) | Itseisännöity | Avoin lähdekoodi, ei kaupallista omistajaa taustalla |
| 1Password | Kanada | Pilvi | Ei julkisesti raportoituja valtiollisia sidoksia |
| KeePass | Saksa/EU, avoin lähdekoodi | Paikallinen tiedosto, ei pilviriippuvuutta | Koodi kokonaan avoin, ei keskitettyä toimittajariskiä |
| LastPass | Yhdysvallat | Pilvi | Useita tietomurtoja vuosina 2022–2026, viimeisin kesäkuussa 2026 |
Miten Bitwarden, 1Password ja KeePass eroavat Passworkista
Ero ei ole ensisijaisesti teknisessä toteutuksessa, vaan siinä, kuka pääsee tarkastamaan koodin ja kuka valvoo yhtiön toimintaa. Bitwardenin ja KeePassin avoin lähdekoodi mahdollistaa riippumattoman auditoinnin kuka tahansa toimesta, mikä tekee piilotetusta valtiollisesta yhteydestä huomattavasti vaikeampaa. Passworkin tapauksessa koodi ei ole julkisesti auditoitavissa, ja juuri tämä läpinäkymättömyys mahdollisti sen, että venäläinen alkuperä pysyi piilossa yli vuosikymmenen ajan.
Historiallinen konteksti: ohjelmistotoimitusketjun riskit ja Venäjä
Passwork-tapaus ei synny tyhjiössä. Länsimainen kyberturvallisuusyhteisö on vuodesta 2022 lähtien kartoittanut järjestelmällisesti venäläistaustaisten ohjelmistokomponenttien esiintymistä kriittisessä infrastruktuurissa, virusturvaohjelmistoista käyttöjärjestelmäkomponentteihin. Sama ilmiö toistuu nyt salasananhallinnan alalla: tuote, joka lupaa suojata organisaation arkaluontoisimman tiedon, osoittautuu itse olevan riippuvainen valtiosta, joka on käynyt sotaa Euroopan rajanaapurissa vuodesta 2022 lähtien.
Vertailukohtia löytyy myös salasananhallinnan omalta alalta. LastPass on kärsinyt toistuvista tietomurroista, viimeisimpänä kesäkuussa 2026, kun hyökkääjät varastivat asiakastukitietoja yhtiön teknologiakumppanilta. Passwork-tapaus on kuitenkin luonteeltaan erilainen: siinä ei ole kyse yksittäisestä murrosta vaan rakenteellisesta, tarkoituksellisesti piilotetusta riippuvuudesta, joka on ollut olemassa tuotteen koko elinkaaren ajan.
Myös suomalaisilla organisaatioilla on tuoretta kokemusta siitä, mitä tapahtuu, kun ulkomainen palvelu käsittelee arkaluontoista dataa ilman riittävää läpinäkyvyyttä. Kuljetuspalvelu Yango sai aiemmin vuonna 2026 merkittävän GDPR-sakon suomalaisten käyttäjien tietojen siirtämisestä Venäjälle. Passwork-tapaus laajentaa saman huolen koskemaan suoraan ohjelmistojen toimitusketjua: kyse ei ole enää vain siitä, minne data lähetetään käytön aikana, vaan siitä, kuka on rakentanut ohjelmiston, joka datan käsittelee.
EU:n ja Pohjoismaiden reaktiot tutkintaan
Hollannissa reaktio on ollut nopein, koska osa tutkintaan osallistuneista medioista, kuten NRC ja NU.nl, on hollantilaisia. Hollantilaiset kansanedustajat ja kyberturvallisuusviranomaiset ovat nostaneet asian esiin nimenomaan kriittisen infrastruktuurin näkökulmasta, koska osa paljastuneista asiakkaista toimii juuri sillä sektorilla. Muualla Euroopassa reaktio on ollut hitaampi, ja suoria, nimettyjä kannanottoja Suomen tai muiden Pohjoismaiden viranomaisilta ei ollut elokuun loppuun 2026 mennessä vielä julkisesti dokumentoitu.
Tämä hiljaisuus ei tarkoita, etteikö asia koskisi Suomea. Passworkin väitetty “suomalainen alkuperä” markkinointimateriaaleissa on juuri sellainen yksityiskohta, joka todennäköisesti nostaa asian esiin kotimaisessa keskustelussa, kun tieto leviää laajemmin. Odotettavissa on, että Traficomin Kyberturvallisuuskeskus ja vastaavat pohjoismaiset virastot, kuten Ruotsin MSB ja Norjan NSM, ottavat kantaa viimeistään silloin, kun ensimmäiset kotimaiset asiakastapaukset varmistuvat.
Ranskassa ja Saksassa keskustelu on toistaiseksi keskittynyt yksittäisiin nimettyihin tapauksiin, kuten paljastuneeseen ranskalaiseen satamaan ja saksalaiseen kunnallishallintoon, eikä laajempaan kansalliseen linjaukseen. Tämä hajanaisuus on itsessään huomionarvoista: toisin kuin esimerkiksi Kaspersky-kiellon kohdalla, jossa useat hallitukset koordinoivat linjauksiaan, Passwork-tapaus etenee tällä hetkellä maakohtaisesti ja mediavetoisesti, ei yhtenäisen EU-tason päätöksen kautta. Se saattaa muuttua nopeastikin, jos Statewatchin ehdottama pakotekäsittely etenee EU:n neuvostossa.
Markkinavaikutus: toimittaja-auditoinnit kiristyvät
Passwork-paljastuksen suurin markkinavaikutus ei todennäköisesti näy salasananhallinnan segmentissä yksinään, vaan koko ohjelmistohankinnan käytännöissä. EU:n NIS2-direktiivin toimeenpano on jo lisännyt vaatimuksia toimitusketjun riskienhallinnasta, ja Passwork-tapaus antaa konkreettisen, nimetyn esimerkin siitä, mitä voi tapahtua, kun toimittajan alkuperää ei tarkisteta. Julkisen sektorin hankintayksiköt joutuvat todennäköisesti lisäämään ohjelmistotoimittajien taustaselvityksiin uuden vaiheen: kehitystiimin sijainnin, omistusrakenteen ja mahdollisten ulkomaisten sertifiointien kartoituksen.
Kaupallisesti tapaus todennäköisesti hyödyttää etenkin avoimen lähdekoodin toimijoita ja pohjoismaisia tai muita EU-alueella toimivia salasananhallinnan tarjoajia, joiden koko liiketoimintamalli nojaa läpinäkyvyyteen. Bitwardenin kaltaiset yhtiöt ovat jo pitkään markkinoineet juuri auditoitavuutta kilpailuetunaan, ja Passwork-uutisointi antaa niille konkreettisen, ajankohtaisen argumentin myyntikeskusteluihin julkisen sektorin kanssa. Konsulttiyhtiöille ja tietoturva-auditoijille tapaus taas avaa uuden liiketoiminta-alueen: toimittajan alkuperän ja koodin jakamisen selvittäminen on nousemassa omaksi palvelukategoriakseen perinteisen penetraatiotestauksen rinnalle.
| Tunnusluku | Arvo |
|---|---|
| Tutkinnan julkaisupäivä | 17. heinäkuuta 2026 |
| Passworkin perustamisvuosi | 2014 |
| Perustamispaikka | Arhangelsk, Venäjä |
| Siirto “eurooppalaiseksi” yhtiöksi | Espanjaan, vuoden 2022 hyökkäyksen jälkeen |
| FSB:n kryptografialupa venäläiselle sisaryhtiölle | Myönnetty vuonna 2025 |
| Tutkintaan osallistuneet mediat | OCCRP, Investico, NU.nl, De Groene Amsterdammer, Le Monde, De Tijd, VSquare |
| Tunnetut eurooppalaiset asiakassektorit | Valtionhallinto (Irlanti), yliopistot ja kunnallishallinto (Saksa), satama (Ranska), useita yrityksiä (Alankomaat) |
| Venäläiset tunnetut asiakkaat | Gazprom, Transneft, puolustusministeriö, FSB |
Näin tarkistat oman organisaatiosi ohjelmistotoimittajat
Passwork-tapaus on hyvä muistutus siitä, että toimittajan alkuperä ei aina näy verkkosivun osoitteesta tai markkinointikielestä. Muutama yksinkertainen, teknisen tason tarkistus paljastaa usein enemmän kuin yhtiön oma “tietoa meistä” -sivu. Seuraava esimerkki näyttää, millaisia komentoja tietoturvatiimi voi käyttää verkkotunnuksen rekisteröintitietojen ja infrastruktuurin alkuperäisen sijainnin selvittämiseen osana toimittaja-arviointia.
whois passwork.pro | grep -E "Registrant|Country|Creation Date"
dig +short passwork.pro
curl -sI https://passwork.pro | grep -i server
# Tarkista myös TLS-varmenteen myöntäjä ja historiatiedot
openssl s_client -connect passwork.pro:443 -servername passwork.pro /dev/null | openssl x509 -noout -issuer -subjectYksittäiset komennot eivät todista mitään yksinään, mutta yhdistettynä yhtiön omistusrekisteritietoihin, kehitystiimin LinkedIn-profiileihin ja mahdollisiin ulkomaisiin sertifiointeihin ne muodostavat kohtuullisen kuvan toimittajan todellisesta taustasta. Erityisen tärkeää on selvittää, onko sama koodikanta tai infrastruktuuri jaettu jonkin toisen, esimerkiksi kolmannessa maassa toimivan yhtiön kanssa, sillä juuri tämä oli Passwork-tapauksen ydin.
Suomalaisille organisaatioille käytännön viesti on suora. Tietoturvatiimin kannattaa käydä läpi kaikki käytössä olevat salasananhallinta-, VPN- ja etäyhteystyökalut ja kysyä jokaisesta samat kysymykset: missä maassa kehitystiimi todella sijaitsee, kenelle yhtiö on juridisesti vastuussa, ja onko koodikanta jaettu muiden, mahdollisesti riskialttiimmissa maissa toimivien yhtiöiden kanssa. Passwork-tapaus osoittaa, että pelkkä yhtiön kotipaikka verkkosivuilla tai kaupparekisterissä ei riitä vastaukseksi.
- Selvitä yhtiön todellinen rekisteröintimaa ja -historia, ei pelkkää markkinointiväitettä
- Tarkista, onko sama tuote tai koodikanta myynnissä myös muissa maissa eri nimellä
- Kysy toimittajalta suoraan mahdollisista ulkomaisista viranomaissertifioinneista
- Suosi tuotteita, joiden lähdekoodi on julkisesti auditoitavissa
- Kirjaa toimittaja-arviointi osaksi NIS2-vaatimusten mukaista riskienhallintaa
Ennusteet: mitä seuraavaksi tapahtuu
Muutama kehityskulku näyttää todennäköiseltä seuraavien kuukausien aikana. Ensinnäkin useat Passworkin tunnetuista julkishallinnon asiakkaista todennäköisesti aloittavat toimittajanvaihdon jo syksyllä 2026, koska poliittinen ja mediapaine kasvaa nopeasti tällaisissa tapauksissa. Toiseksi Statewatchin ehdottama pakotelistaus voi edetä EU:n käsittelyyn, vaikka lopullinen päätös venynee vuoden 2027 puolelle tavanomaisen pakoteprosessin hitauden vuoksi.
Kolmanneksi on odotettavissa, että pohjoismaiset kyberturvallisuusviranomaiset julkaisevat syksyn 2026 aikana ohjeistuksia tai suosituksia ohjelmistotoimittajien alkuperän tarkistamisesta, samaan tapaan kuin ne ovat aiemmin ohjeistaneet suhtautumista venäläistaustaisiin virustorjuntaohjelmistoihin. Neljänneksi tapaus todennäköisesti kiihdyttää avoimen lähdekoodin salasananhallintaratkaisujen, kuten Bitwardenin ja sen itseisännöitävän Vaultwarden-vaihtoehdon, suosiota julkisella sektorilla, koska niiden koodi on riippumattomasti tarkastettavissa. Viidenneksi on hyvin mahdollista, että lisätutkimukset paljastavat vastaavia “Made in EU” -väitteitä muilta ohjelmistotoimittajilta, sillä Passwork-tapaus on jo herättänyt toimittajaketjujen laajempaa tarkastelua koko toimialalla.
Pidemmällä aikavälillä tapaus voi muuttaa myös sitä, miten EU-maat kirjoittavat julkisia hankintasopimuksia. Nykyiset hankintakriteerit keskittyvät useimmiten hintaan, toiminnallisuuteen ja tietosuoja-asetuksen muodolliseen noudattamiseen, eivät kehitystiimin sijaintiin tai koodin jakamiseen kolmansien osapuolten kanssa. Passwork-tapauksen kaltaiset paljastukset antavat poliittista liikkumatilaa vaatia hankintalakeihin uusia, teknisen alkuperän läpinäkyvyyttä koskevia pykäliä, mikä olisi merkittävä muutos nykyiseen käytäntöön verrattuna.
Usein kysytyt kysymykset
Mikä Passwork on?
Passwork on yrityksille ja tiimeille suunnattu salasananhallintaohjelmisto, jota myydään sekä pilvipalveluna että itseisännöitynä ratkaisuna. Sitä on markkinoitu erityisesti julkiselle sektorille ja kriittiselle infrastruktuurille.
Miksi Passworkin venäläinen alkuperä on ongelma?
Koska tuotteen eurooppalainen versio jakaa lähdekoodin ja synkronoidut päivitykset venäläisen, FSB:n sertifioiman sisaryhtiön kanssa. Venäjän lainsäädäntö edellyttää tällaisilta yhtiöiltä laajaa teknistä avoimuutta viranomaisia kohtaan.
Käytetäänkö Passworkia Suomessa?
Julkisesti vahvistettuja suomalaisia asiakastapauksia ei ollut elokuun 2026 loppuun mennessä raportoitu, mutta yhtiö on markkinoinut tuotettaan ajoittain myös suomalaisperäisenä, mikä tekee suomalaisesta käytöstä täysin mahdollista.
Onko Passwork turvallinen käyttää edelleen?
Tietoturva-asiantuntijät luokittelevat järjestelyn valtiotason riskiksi. Organisaatioiden, jotka käyttävät tuotetta, kannattaa arvioida vaihtoehtoja ja erityisesti suosia avoimen lähdekoodin ratkaisuja, joiden koodi on riippumattomasti tarkastettavissa.
Mitä FSB-sertifiointi käytännössä tarkoittaa?
Se on Venäjän turvallisuuspalvelun myöntämä lupa kryptografisten työkalujen käsittelyyn. Luvan saaminen edellyttää yksityiskohtaista teknistä dokumentaatiota, joka antaa viranomaisille käytännössä pääsyn ohjelmiston sisäiseen rakenteeseen.
Miten oman organisaation kannattaa tarkistaa ohjelmistotoimittajat?
Selvitä toimittajan todellinen rekisteröintimaa, kehitystiimin sijainti, mahdolliset ulkomaiset sertifioinnit ja se, jaetaanko sama koodikanta muiden, esimerkiksi kolmansissa maissa toimivien yhtiöiden kanssa.
Onko muilla salasananhallintaohjelmilla vastaavia riskejä?
Ei ole raportoitu vastaavia valtiollisia sidoksia esimerkiksi Bitwardenilla, 1Passwordilla tai KeePassilla. Avoimen lähdekoodin ratkaisut ovat rakenteellisesti läpinäkyvämpiä, koska kuka tahansa voi tarkastaa niiden koodin.
Mitä EU aikoo tehdä asialle?
Tietoturva-analyytikot, kuten Statewatch, ovat ehdottaneet Passworkin ottamista mukaan EU:n pakotelistoihin. Virallista päätöstä ei ollut tehty elokuuhun 2026 mennessä, mutta NIS2-direktiivin toimeenpano todennäköisesti kiristää toimittaja-arviointien vaatimuksia laajemminkin.
Miksi Passwork onnistui pysymään piilossa niin pitkään?
Koska yhtiön lähdekoodi ei ole julkisesti auditoitavissa ja koska markkinointi rakensi tietoisesti eurooppalaista, jopa suomalaista, identiteettiä. Suljetun lähdekoodin ohjelmistoissa asiakkaat joutuvat luottamaan toimittajan omiin väitteisiin alkuperästä, mikä teki harhaanjohtamisesta mahdollista yli vuosikymmenen ajan.
