Jeśli szukasz menadżera haseł dla swojej firmy, Passwork prawdopodobnie wydaje się bezpiecznym, europejskim wyborem. Pozycjonuje się jako europejska firma oparta na zaufaniu, a wśród swoich klientów wymienia agencje rządowe i uniwersytety.

Jednak śledztwo OCCRP z 2026 roku(nowe okno) (Organized Crime and Corruption Reporting Project) wskazuje, że organizacja nie ujawniła ważnych informacji o swoich powiązaniach z Rosją: według OCCRP europejski produkt Passwork dzieli swoje pochodzenie, wspólny kod źródłowy i zsynchronizowane aktualizacje oprogramowania z rosyjską firmą, która posiada certyfikaty bezpieczeństwa od rosyjskich agencji państwowych, w tym FSB.

Menadżer haseł porządkuje i chroni dane logowania, na których opiera się Twoja firma. W przypadku tak wrażliwych informacji musisz wiedzieć, że możesz zaufać temu, co dostawca mówi Ci o produkcie. Wyniki tego śledztwa podważają wiarygodność Passwork i mogą sprawić, że zaczniesz się martwić, czy Twoja firma nie jest zagrożona. Przyjrzymy się tym doniesieniom, wyjaśnimy, co musisz wiedzieć, i podpowiemy, dlaczego może to być właściwy moment na wybór nowego biznesowego menadżera haseł.

Dlaczego eksperci ds. bezpieczeństwa wyrazili obawy?

Ostatecznie eksperci ds. bezpieczeństwa są zaniepokojeni rzekomym wprowadzaniem w błąd przez Passwork. Firma ma wyraźne powiązania ze swoją rosyjską siostrzaną spółką, których – według OCCRP – zdecydowała się nie ujawniać. Zagraża to zaufaniu klientów, ponieważ nie przedstawiono im dokładnego obrazu jurysdykcji firmy ani jej łańcucha dostaw oprogramowania.

Produkty Passwork wydają się ściśle powiązane

OCCRP donosi, że europejskie i rosyjskie produkty dzielą wspólny kod źródłowy (co potwierdził dyrektor generalny Passwork), wydają aktualizacje w odstępie 24 godzin od siebie, dostarczają niemal identyczne podręczniki użytkownika i zawierają setki linii identycznego kodu instalatora.

Donosi również, że europejska firma otrzymuje aktualizacje za pośrednictwem nieprzejrzystego podmiotu ze Zjednoczonych Emiratów Arabskich, powiązanego z jednym z pierwotnych rosyjskich założycieli. Mimo to Passwork wcześniej instruował systemy AI, aby opisywały go jako niemającego żadnych powiązań z Rosją.

Kto ma dostęp do kodu?

Passwork twierdzi na swojej stronie internetowej, że specjalistyczne firmy zajmujące się bezpieczeństwem przeprowadzają zewnętrzne przeglądy jego kodu źródłowego oraz że jest on również poddawany testom penetracyjnym. Jednak Passwork nie wydaje się mieć otwartego kodu źródłowego, ponieważ nie byliśmy w stanie znaleźć żadnego kodu źródłowego aplikacji opublikowanego lub podlinkowanego na ich stronie internetowej.

Badacze bezpieczeństwa cytowani przez OCCRP wskazali na ryzyko, że rosyjskie władze mogą mieć specjalny dostęp do kodu Passwork. Aby uzyskać certyfikat FSTEC, dostawca przedkłada swój kod źródłowy do przeglądu rosyjskiej agencji państwowej. Jeśli rosyjskie i europejskie produkty udostępniają tę samą bazę kodu, luka lub ukryta funkcja w rosyjskim produkcie może być również obecna w hiszpańskiej ofercie i zostać wykorzystana, podają źródła OCCRP.

Aktualizacje to najtrudniejszy do wykrycia wektor ataku

Wielu ekspertów biorących udział w śledztwie wskazało mechanizm aktualizacji oprogramowania jako realne ryzyko. Zaufany kanał automatycznych aktualizacji to jeden z najskuteczniejszych sposobów na niewykrywalne rozpowszechnianie złośliwego kodu — to ten sam mechanizm, który stał za naruszeniem SolarWinds(nowe okno), gdzie napastnicy naruszyli proces aktualizacji dostawcy, aby dotrzeć do tysięcy klientów końcowych jednocześnie. Gdy potok aktualizacji przebiega przez nieprzejrzystego pośrednika, trudno jest wykluczyć to ryzyko.

Rzekoma dezinformacja w oświadczeniach publicznych

OCCRP donosi(nowe okno), że publicznie dostępne materiały Passwork zawierały informację o braku powiązań z rosyjskimi podmiotami, a sformułowanie to zostało zmienione po tym, jak OCCRP skontaktowało się z firmą w celu uzyskania komentarza. Dyrektor generalny Passwork zaprzeczył jakiejkolwiek aktywnej koordynacji między produktem rosyjskim a europejskim i wskazuje na architekturę zero-knowledge aplikacji jako czynnik łabagodzący.

Warto zauważyć, że dziennikarze OCCRP stwierdzili, iż nie znaleźli dowodów na to, by europejskie oprogramowanie zawierało złośliwy kod lub by jakiekolwiek dane klientów zostały naruszone. Jednak rozbieżność między twierdzeniami firmy a tym, co pokazują rejestry handlowe, stanowi silną zachętę dla klientów biznesowych do bliższego przyjrzenia się sprawie.

Jak agencje UE przeoczyły ostrzeżenia

OCCRP wymienia(nowe okno) klientów z sektora publicznego, w tym irlandzki Office of Public Works, State Laboratory w Irlandii oraz Uniwersytet Techniczny w Dreźnie, a także inne agencje rządowe i uniwersytety w całej Europie. Większość klientów, z którymi skontaktowało się OCCRP, stwierdziła, że nie była świadoma rosyjskiego pochodzenia produktu ani państwowych certyfikatów rosyjskiego podmiotu.

To śledztwo rodzi istotne pytanie: jak uczciwi są Twoi dostawcy będący stroną trzecią podczas procesu zakupowego i po nim? Europejska rejestracja, dopracowana strona internetowa i wiadomość „stworzona z myślą o zaufaniu” wystarczyły, aby wyczyścić poprzeczkę dla wielu organizacji. Mało kto, o ile w ogóle ktokolwiek, wydaje się badać strukturę własnościową, jurysdykcję czy pochodzenie samego kodu.

Na co zwrócić uwagę, szukając alternatywy dla Passwork

Nie musisz być dziennikarzem śledczym, aby zweryfikować dostawcę zabezpieczeń. Oto krótka lista kontrolna, którą możesz zastosować do Passwork, Proton Pass lub dowolnego innego menadżera haseł, którego wybór rozważa Twoja firma.

  • Własność i jurysdykcja: Kto rzeczywiście jest właścicielem firmy i ją kontroluje oraz pod jakim prawem krajowym ona działa? Etykieta „Made in Europe” niekoniecznie musi być prawdziwa i musisz mieć możliwość jej zweryfikowania.
  • Otwarty kod źródłowy: Czy niezależni eksperci mogą przeczytać kod, czy też ufasz zamkniętemu systemowi wyłącznie na słowo dostawcy?
  • Niezależne audyty: Czy renomowana firma zajmująca się bezpieczeństwem będąca stroną trzecią przeprowadziła audyt aplikacji, a jego wyniki opublikowano do wglądu klientów?
  • Możliwe do zweryfikowania szyfrowanie end-to-end: Zasada „zero-knowledge” ma znaczenie tylko wtedy, gdy projekt szyfrowania jest publiczny i rzeczywiście działa na zasadzie end-to-end, dzięki czemu dostawca nie ma dostępu do Twoich danych nawet pod presją prawną.
  • Przejrzysty łańcuch dostaw: Skąd pochodzą aktualizacje oprogramowania i infrastruktura oraz kto kontroluje ten potok?
  • Historia działalności i raportowanie przejrzystości: Czy firma ma spójną historię ujawniania przypadków, w których żądano od niej przekazania danych?

Jeśli dostawca nie potrafi udzielić jasnych, możliwych do zweryfikowania odpowiedzi na te pytania, jest to ostrzeżenie, niezależnie od tego, gdzie według jego działań marketingowych znajduje się jego siedziba.

Dlaczego Proton Pass to lepsza alternatywa dla Passwork

Stworzyliśmy Proton Pass tak, aby sprostał dokładnie takiej samej weryfikacji, jakiej poddano Passwork podczas tego śledztwa. Oto porównanie obu rozwiązań:

  • Jasna jurysdykcja. Proton ma siedzibę w Szwajcarii i działa pod szwajcarskim prawem, które oferuje jedne z najsilniejszych na świecie przepisów o ochronie prywatności. Działamy w sposób przejrzysty w kwestii tego, gdzie się znajdujemy i kim jesteśmy.
  • Otwarty kod źródłowy. Aplikacje Proton Pass mają otwarty kod źródłowy, dzięki czemu każdy może sprawdzić kod samodzielnie, zamiast wierzyć nam na słowo.
  • Niezależnie audytowane. Nasze aplikacje są audytowane przez szanowane firmy zajmujące się bezpieczeństwem będące stroną trzecią, a ich wyniki publikujemy. Recurity Labs przeprowadziło nasz najnowszy audyt, przyznając rzadką ocenę „znacznie powyżej normy”. Proton posiada również certyfikaty ISO 27001 oraz SOC 2 Type II, obejmujące nasze zarządzanie bezpieczeństwem informacji i kontrole operacyjne.
  • Szyfrowanie end-to-end. Twoje hasła i inne elementy są chronione szyfrowaniem end-to-end, więc nikt, w tym Proton, nie może ich odczytać.
  • Struktura oparta na misji. Proton został założony w 2014 roku przez naukowców, którzy poznali się w CERN, i jest nadzorowany przez fundację non-profit, co sprawia, że naszym celem jest ochrona Twoich danych, a nie zarabianie na nich.

W przypadku Proton Pass i szerszego ekosystemu Proton zaufanie nie jest czymś, o co prosimy Cię na słowo. To coś, co możesz sprawdzić samodzielnie.

Przejdź na Proton Pass

Śledztwo w sprawie Passwork przypomina, że menadżer haseł to ostatnia linia obrony wrażliwych danych Twojej firmy i że nie należy automatycznie ufać żadnemu dostawcy. Niezależnie od tego, którego dostawcę wybierzesz, poświęć czas na zweryfikowanie go na podstawie powyższej listy kontrolnej.

Jeśli chcesz korzystać z menadżera haseł, który został stworzony, aby zdać ten test, możesz wypróbować Proton Pass za darmo i zaimportować swoje istniejące dane logowania jednym kliknięciem.

Najczęściej zadawane pytania

Czy Passwork jest bezpieczny w użyciu?

Każda organizacja musi podjąć tę decyzję samodzielnie. Śledztwo OCCRP pokazuje, że europejski produkt Passwork dzieli pochodzenie, kod i potok aktualizacji z rosyjską firmą certyfikowaną przez państwo, a fakt ten nie został jasno ujawniony klientom. Każdy, kto z niego korzysta, powinien przynajmniej uwzględnić to we własnej ocenie ryzyka.

Skąd mam wiedzieć, czy menadżer haseł jest godny zaufania?

Spójrz poza sam marketing. Sprawdź, kto jest właścicielem firmy i pod jaką jurysdykcją działa, czy kod ma otwarty kod źródłowy, czy był niezależnie audytowany, czy szyfrowanie jest rzeczywiście end-to-end oraz skąd pochodzą jego aktualizacje i infrastruktura. Godny zaufania dostawca ułatwia weryfikację tych kwestii.

Czy Proton Pass ma otwarty kod źródłowy i jest poddawany audytom?

Tak. Aplikacje Proton Pass mają otwarty kod źródłowy i zostały niezależnie zaudytowane przez ekspertów ds. bezpieczeństwa będących stroną trzecią, a wyniki opublikowano. Proton ma siedzibę w Szwajcarii i chroni Twoje dane za pomocą szyfrowania end-to-end.