Jika sedang mencari pengelola kata sandi untuk bisnis Anda, Passwork mungkin tampak seperti pilihan Eropa yang aman. Perusahaan ini memasarkan dirinya sebagai perusahaan Eropa yang dibangun demi kepercayaan, dan menyertakan lembaga pemerintah serta universitas di antara pelanggannya.

Namun, investigasi tahun 2026 oleh OCCRP(jendela baru) (Organized Crime and Corruption Reporting Project) menunjukkan bahwa organisasi tersebut belum mengungkapkan informasi penting tentang hubungannya dengan Rusia: Menurut OCCRP, produk Eropa Passwork berbagi asal-usul, basis kode bersama, dan pembaruan perangkat lunak yang disinkronkan dengan perusahaan Rusia yang memegang sertifikasi keamanan dari lembaga negara Rusia, termasuk FSB.

Pengelola kata sandi mengatur dan melindungi kredensial yang menjalankan bisnis Anda. Dengan informasi sensitif tersebut, penting untuk mengetahui bahwa penyedia dapat dipercayai terkait produknya. Hasil investigasi ini mempersulit kredibilitas Passwork, dan mungkin membuat khawatir bahwa bisnis berada dalam risiko. Klaim tersebut, hal yang perlu diketahui, dan alasan mengapa ini saatnya memilih pengelola kata sandi bisnis yang baru akan dieksplorasi.

Mengapa para pakar keamanan menyuarakan kekhawatiran?

Pada akhirnya, para pakar keamanan mengkhawatirkan dugaan penipuan oleh Passwork. Bisnis ini memiliki hubungan yang jelas dengan perusahaan saudaranya di Rusia, yang menurut OCCRP sengaja tidak diungkapkan. Hal ini mengompromikan kepercayaan pelanggan, karena pelanggan tidak diberi gambaran akurat tentang yurisdiksi dan rantai pasokan perangkat lunaknya.

Produk-produk Passwork tampaknya sangat terkait

OCCRP melaporkan bahwa produk Eropa dan Rusia berbagi basis kode bersama (sesuatu yang diakui oleh CEO Passwork), merilis pembaruan dalam waktu 24 jam satu sama lain, mengirimkan manual pengguna yang hampir identik, dan berisi ratusan baris kode penginstal yang identik.

Laporan tersebut juga menyatakan bahwa perusahaan Eropa tersebut menerima pembaruan melalui entitas UEA yang tidak transparan yang terhubung dengan salah satu pendiri asli Rusia. Terlepas dari hal ini, Passwork sebelumnya telah menginstruksikan sistem AI untuk menggambarkannya tidak memiliki afiliasi dengan Rusia.

Siapa yang memiliki akses ke kode tersebut?

Passwork menyatakan di situs webnya bahwa perusahaan keamanan spesialis melakukan peninjauan eksternal terhadap kode sumbernya dan juga menjadi subjek pengujian penetrasi. Namun, Passwork tampaknya tidak bersifat open source, karena kode sumber aplikasi tersebut tidak dapat ditemukan dipublikasikan atau ditautkan di situs web mereka.

Peneliti keamanan yang dikutip oleh OCCRP menandai risiko bahwa otoritas Rusia mungkin memiliki akses khusus ke kode Passwork. Untuk mendapatkan sertifikasi FSTEC, vendor menyerahkan kode sumbernya untuk ditinjau oleh lembaga negara Rusia. Jika produk Rusia dan Eropa berbagi basis kode, kerentanan atau kemampuan tersembunyi dalam produk Rusia juga dapat ada dalam penawaran Spanyol dan dieksploitasi, menurut sumber OCCRP.

Pembaruan adalah vektor serangan yang paling sulit dideteksi

Banyak pakar dalam investigasi tersebut menunjuk pada mekanisme pembaruan perangkat lunak sebagai risiko nyata. Kanal pembaruan otomatis yang tepercaya adalah salah satu cara paling efektif untuk menyebarkan kode berbahaya tanpa terdeteksi — ini adalah mekanisme yang sama di balik pembobolan SolarWinds(jendela baru), di mana penyerang mengompromikan proses pembaruan vendor untuk menjangkau ribuan pelanggan hilir sekaligus. Ketika alur pembaruan berjalan melalui perantara yang tidak transparan, risiko tersebut sulit untuk dikesampingkan.

Dugaan informasi yang keliru dalam pernyataan publik

OCCRP melaporkan(jendela baru) bahwa materi publik Passwork menyatakan tidak memiliki afiliasi dengan entitas Rusia, dan bahwa bahasa ini diubah setelah OCCRP menghubungi perusahaan tersebut untuk meminta komentar. CEO Passwork telah menolak adanya koordinasi aktif antara produk Rusia dan Eropa serta menunjuk pada arsitektur zero-knowledge aplikasi tersebut sebagai faktor mitigasi.

Perlu dicatat bahwa wartawan OCCRP menyatakan mereka tidak menemukan bukti bahwa perangkat lunak Eropa tersebut berisi kode berbahaya atau bahwa data pelanggan apa pun telah dikompromikan. Namun, kesenjangan antara klaim perusahaan dan rekaman korporasi yang ditampilkan merupakan insentif kuat bagi pelanggan bisnis untuk memeriksa lebih dekat.

Bagaimana lembaga-lembaga UE melewatkan tanda-tanda peringatan

OCCRP menyebutkan(jendela baru) pelanggan sektor publik termasuk Kantor Pekerjaan Umum Irlandia, Laboratorium Negara Irlandia, dan Universitas Teknologi Dresden, di antara lembaga pemerintah dan universitas lain di seluruh Eropa. Sebagian besar klien yang dihubungi OCCRP menyatakan bahwa mereka tidak mengetahui asal-usul produk tersebut dari Rusia atau sertifikasi negara dari entitas Rusia tersebut.

Investigasi ini memunculkan pertanyaan penting: Seberapa jujur vendor pihak ketiga selama proses pengadaan dan setelahnya? Pendaftaran Eropa, situs web yang apik, dan pesan “dibangun demi kepercayaan” sudah cukup untuk melewati standar bagi banyak organisasi. Sedikit sekali, jika ada, yang tampaknya melacak kepemilikan, yurisdiksi, atau asal-usul dari kode itu sendiri.

Apa yang harus dicari dalam alternatif Passwork

Tidak perlu menjadi jurnalis investigasi untuk menyelidiki penyedia keamanan. Berikut adalah daftar periksa singkat yang dapat diterapkan pada Passwork, Proton Pass, atau pengelola kata sandi lain yang sedang dipertimbangkan oleh bisnis.

  • Kepemilikan dan yurisdiksi: Siapa yang sebenarnya memiliki dan mengendalikan perusahaan, dan di bawah hukum negara mana perusahaan tersebut beroperasi? Label “Buatan Eropa” belum tentu benar dan penting untuk dapat memverifikasinya.
  • Open source: Dapatkah kode tersebut dibaca oleh pakar independen, atau haruskah memercayai sistem tertutup hanya berdasarkan janji vendor saja?
  • Audit independen: Apakah perusahaan keamanan pihak ketiga yang bereputasi baik telah mengaudit aplikasi tersebut, dengan hasil yang dipublikasikan untuk ditinjau oleh pelanggan?
  • Enkripsi end-to-end yang dapat diverifikasi: “Zero-knowledge” hanya berarti jika desain enkripsi bersifat publik dan benar-benar end-to-end, sehingga penyedia tidak dapat mengakses data bahkan di bawah tekanan hukum.
  • Rantai pasokan yang transparan: Dari mana pembaruan perangkat lunak dan infrastruktur berasal, dan siapa yang mengendalikan alur tersebut?
  • Rekam jejak dan pelaporan transparansi: Apakah perusahaan memiliki riwayat yang konsisten dalam mengungkapkan ketika diminta untuk menyerahkan data?

Jika penyedia tidak dapat memberikan jawaban yang jelas dan dapat diverifikasi untuk pertanyaan-pertanyaan ini, ini adalah tanda peringatan terlepas dari mana pemasarannya menyebutkan lokasi basisnya.

Mengapa Proton Pass adalah alternatif yang lebih baik daripada Passwork

Proton Pass dibangun untuk menghadapi jenis pemeriksaan yang persis seperti yang diterapkan pada Passwork selama investigasi ini. Berikut adalah perbandingannya:

  • Yurisdiksi yang jelas. Proton berkantor pusat di Swiss dan beroperasi di bawah hukum Swiss, yang memiliki beberapa perlindungan privasi terkuat di dunia. Lokasi dan identitas disajikan secara transparan.
  • Open source. Aplikasi Proton Pass bersifat open source, sehingga siapa pun dapat memeriksa kodenya daripada hanya memercayai kami begitu saja.
  • Diaudit secara independen. Aplikasi kami diaudit oleh perusahaan keamanan pihak ketiga yang dihormati, dan hasilnya dipublikasikan. Recurity Labs melakukan audit terbaru kami, memberikan peringkat langka “jauh di atas rata-rata”. Proton juga memegang sertifikasi ISO 27001 dan SOC 2 Tipe II, yang mencakup manajemen keamanan informasi dan kontrol operasional kami.
  • Enkripsi end-to-end. Kata sandi dan item lainnya dilindungi dengan enkripsi end-to-end, sehingga tidak dapat dibaca oleh siapa pun, termasuk Proton.
  • Struktur yang didorong oleh misi. Proton didirikan pada tahun 2014 oleh para ilmuwan yang bertemu di CERN dan diawasi oleh yayasan nirlaba, menyelaraskan insentif untuk melindungi data alih-alih memonetisasinya.

Dengan Proton Pass dan ekosistem Proton yang lebih luas, kepercayaan bukanlah sesuatu yang harus diterima begitu saja. Kepercayaan tersebut dapat diperiksa sendiri.

Beralih ke Proton Pass

Investigasi Passwork merupakan pengingat bahwa pengelola kata sandi adalah lini pertahanan terakhir untuk data sensitif bisnis, dan bahwa kepercayaan tidak boleh diberikan secara otomatis kepada vendor mana pun. Penyedia mana pun yang dipilih, luangkan waktu untuk memeriksanya berdasarkan daftar periksa di atas.

Untuk pengelola kata sandi yang dibangun guna lulus pengujian tersebut, silakan coba Proton Pass secara gratis dan impor data masuk yang sudah ada dengan satu klik.

Pertanyaan Umum

Apakah Passwork aman digunakan?

Setiap organisasi harus membuat keputusan ini sendiri. Hal yang ditampilkan oleh investigasi OCCRP adalah bahwa produk Eropa Passwork berbagi asal-usul, kode, dan alur pembaruan dengan perusahaan yang tersertifikasi negara Rusia, dan hal ini tidak diungkapkan dengan jelas kepada pelanggan. Minimal, siapa pun yang menggunakannya harus mempertimbangkan hal tersebut ke dalam penilaian risiko mereka sendiri.

Bagaimana cara mengetahui apakah pengelola kata sandi dapat dipercaya?

Jangan hanya melihat pemasarannya. Periksa siapa pemilik perusahaan dan di bawah yurisdiksi mana perusahaan tersebut beroperasi, apakah kodenya bersifat open source, apakah telah diaudit secara independen, apakah enkripsi benar-benar end-to-end, serta dari mana pembaruan dan infrastrukturnya berasal. Penyedia yang tepercaya memudahkan verifikasi hal-hal ini.

Apakah Proton Pass bersifat open source dan diaudit?

Ya. Aplikasi Proton Pass bersifat open source and telah diaudit secara independen oleh pakar keamanan pihak ketiga, dengan hasil yang dipublikasikan. Proton berbasis di Swiss dan melindungi data dengan enkripsi end-to-end.