Se procura um gestor de palavras-passe para a sua empresa, o Passwork parece provavelmente uma escolha europeia segura. Apresenta-se como uma empresa europeia criada para inspirar confiança e conta com agências governamentais e universidades entre os seus clientes.

No entanto, uma investigação de 2026 do OCCRP(nova janela) (Organized Crime and Corruption Reporting Project) indica que a organização não divulgou informações importantes sobre as suas ligações à Rússia: de acordo com o OCCRP, o produto europeu do Passwork partilha as suas origens, uma base de código comum e atualizações de software sincronizadas com uma empresa russa que possui certificações de segurança de agências estatais russas, incluindo o FSB.

Um gestor de palavras-passe organiza e protege as credenciais em que a sua empresa se apoia. Com informações tão sensíveis, precisa de saber que pode confiar no que o seu fornecedor lhe diz sobre o produto. Os resultados desta investigação complicam a fiabilidade do Passwork e podem deixá-lo preocupado com o facto de a sua empresa estar em risco. Vamos explorar as alegações, o que precisa de saber e por que razão poderá ser altura de escolher um novo gestor de palavras-passe empresarial.

Por que razão os especialistas em segurança levantaram preocupações?

Em última análise, os especialistas em segurança estão preocupados com a aparente fraude do Passwork. A empresa tem ligações claras com a sua empresa parceira russa, que o OCCRP afirma que optou por não divulgar. Isto compromete a confiança dos seus clientes, porque não lhes foi fornecida uma imagem precisa da sua jurisdição e da sua cadeia de abastecimento de software.

Os produtos do Passwork parecem estar estreitamente ligados

O OCCRP relata que os produtos europeus e russos partilham uma base de código comum (algo que o CEO do Passwork reconheceu), lançam atualizações com um intervalo de 24 horas entre si, distribuem manuais do utilizador quase idênticos e contêm centenas de linhas de código de instalação idêntico.

Refere também que a empresa europeia recebe as suas atualizações através da opaca entidade dos EAU ligada a um dos fundadores russos originais. Apesar disso, o Passwork tinha anteriormente instruído sistemas de IA a descrevê-lo como não tendo qualquer afiliação com a Rússia.

Quem tem acesso ao código?

O Passwork afirma no seu sítio web que empresas de segurança especializadas realizam análises externas do seu código fonte e que este também está sujeito a testes de intrusão. No entanto, o Passwork não parece ser de código aberto, uma vez que não nos foi possível encontrar qualquer código fonte da aplicação publicado ou com ligação no seu sítio web.

Investigadores de segurança citados pelo OCCRP assinalaram o risco de as autoridades russas poderem ter um acesso especial ao código do Passwork. Para obter a certificação FSTEC, um fornecedor submete o seu código fonte para análise por uma agência estatal russa. Se os produtos russos e europeus partilharem uma base de código, uma vulnerabilidade ou funcionalidade oculta no produto russo também poderá estar presente na oferta espanhola e ser explorada, afirmaram as fontes do OCCRP.

As atualizações são o vetor de ataque mais difícil de detetar

Vários especialistas na investigação apontaram o mecanismo de atualização de software como o verdadeiro risco. Um canal de atualização automática de confiança é uma das formas mais eficazes de distribuir código malicioso sem ser detetado — é o mesmo mecanismo por detrás do incidente SolarWinds(nova janela), no qual os atacantes comprometeram o processo de atualização de um fornecedor para atingir milhares de clientes em cadeia de uma só vez. Quando o fluxo de atualizações passa por um intermediário opaco, esse risco é difícil de excluir.

Aparente desinformação em declarações públicas

O OCCRP relata(nova janela) que os materiais públicos do Passwork afirmavam que este não tinha afiliações com entidades russas, e que esta redação foi alterada depois de o OCCRP ter contactado a empresa para obter comentários. O CEO do Passwork recusou qualquer coordenação ativa entre os produtos russos e europeus e aponta a arquitetura de conhecimento zero da aplicação como um fator atenuante.

Vale a pena notar que os repórteres do OCCRP afirmaram não ter encontrado provas de que o software europeu contenha código malicioso ou de que quaisquer dados de clientes tenham sido comprometidos. No entanto, a discrepância entre o que a empresa afirmou e o que o registo corporativo mostra é um forte incentivo para que os clientes empresariais analisem a situação mais de perto.

Como as agências da UE não viram os sinais de aviso

O OCCRP nomeia(nova janela) clientes do setor público, incluindo o Office of Public Works da Irlanda, o State Laboratory da Irlanda e a Universidade de Tecnologia de Dresden, entre outras agências governamentais e universidades por toda a Europa. A maioria dos clientes contactados pelo OCCRP afirmou não ter conhecimento das origens russas do produto ou das certificações estatais da entidade russa.

Esta investigação levanta uma questão significativa: quão honestos são os seus fornecedores terceiros durante o processo de aquisição e após o mesmo? Um registo europeu, um sítio web polido e uma mensagem “criada para inspirar confiança” foram suficientes para limpar a fasquia para muitas organizações. Poucas, ou nenhumas, parecem ter rastreado a propriedade, a jurisdição ou a origem do próprio código.

O que procurar numa alternativa ao Passwork

Não deveria ter de ser um jornalista de investigação para avaliar um fornecedor de segurança. Eis uma pequena lista de verificação que pode aplicar ao Passwork, ao Proton Pass ou a qualquer outro gestor de palavras-passe que a sua empresa esteja a considerar.

  • Propriedade e jurisdição: quem é realmente o proprietário e quem controla a empresa, e ao abrigo das leis de que país opera? Uma etiqueta “Fabricado na Europa” não é necessariamente verdadeira e o utilizador precisa de ser capaz de a verificar.
  • Código aberto: os especialistas independentes conseguem ler o código ou está a confiar num sistema fechado apenas com base na palavra do fornecedor?
  • Auditorias independentes: uma empresa de segurança de terceiros conceituada auditou as aplicações, com os resultados publicados para análise dos clientes?
  • Encriptação ponto a ponto verificável: o “conhecimento zero” só significa algo se a conceção da encriptação for pública e genuinamente ponto a ponto, para que o fornecedor não possa aceder aos seus dados, mesmo sob pressão legal.
  • Uma cadeia de abastecimento transparente: de onde vêm as atualizações de software e a infraestrutura, e quem controla esse fluxo?
  • Histórico e relatórios de transparência: a empresa tem um historial consistente de divulgação quando lhe é solicitado que entregue dados?

Se um fornecedor não conseguir dar respostas claras e verificáveis a estas perguntas, este é um sinal de aviso, independentemente do local onde o seu marketing diz estar sediado.

Por que razão o Proton Pass é a melhor alternativa ao Passwork

Criámos o Proton Pass para resistir exatamente ao tipo de escrutínio aplicado ao Passwork durante esta investigação. Eis como se compara:

  • Jurisdição clara. A Proton está sediada na Suíça e opera ao abrigo da legislação suíça, que tem algumas das proteções de privacidade mais fortes do mundo. Somos transparentes sobre onde estamos e quem somos.
  • Código aberto. As aplicações do Proton Pass são de código aberto, pelo que qualquer pessoa pode inspecionar o código em vez de simplesmente confiar na nossa palavra.
  • Auditado de forma independente. As nossas aplicações são auditadas por empresas de segurança de terceiros respeitadas e nós publicamos os resultados. A Recurity Labs realizou a nossa auditoria mais recente, atribuindo uma classificação rara de “muito acima da média”. A Proton também possui as certificações ISO 27001 e SOC 2 Type II, que abrangem a nossa gestão de segurança de informação e controlos operacionais.
  • Encriptação ponto a ponto. As suas palavras-passe e outros itens estão protegidos com encriptação ponto a ponto, pelo que ninguém, incluindo a Proton, os pode ler.
  • Uma estrutura orientada por uma missão. A Proton foi fundada em 2014 por cientistas que se conheceram no CERN e é supervisionada por uma fundação sem fins lucrativos, alinhando os nossos incentivos com a proteção dos seus dados, em vez de os rentabilizar.

Com o Proton Pass e o ecossistema Proton mais amplo, a confiança não é algo que lhe pedimos para aceitar cegamente. É algo que pode verificar por si mesmo.

Mude para o Proton Pass

A investigação do Passwork é um lembrete de que o seu gestor de palavras-passe é a última linha de defesa para os dados sensíveis da sua empresa e que a confiança não deve ser concedida automaticamente a qualquer fornecedor. Qualquer que seja o fornecedor que escolher, dedique algum tempo a avaliá-lo com base na lista de verificação acima.

Se quer um gestor de palavras-passe concebido para passar nesse teste, pode experimentar o Proton Pass gratuitamente e importar os seus inícios de sessão existentes com um único clique.

Perguntas mais frequentes

O Passwork é seguro de utilizar?

Cada organização tem de tomar esta decisão por si própria. O que a investigação do OCCRP mostra é que o produto europeu do Passwork partilha origens, código e um fluxo de atualizações com uma empresa russa certificada pelo Estado, e que isso não foi claramente divulgado aos clientes. No mínimo, qualquer pessoa que o utilize deve ter isso em conta na sua própria avaliação de riscos.

Como sei se um gestor de palavras-passe é de confiança?

Olhe para além do marketing. Verifique quem é o proprietário da empresa e sob que jurisdição opera, se o código é de código aberto, se foi auditado de forma independente, se a encriptação é genuinamente ponto a ponto e de onde vêm as suas atualizações e infraestrutura. Um fornecedor de confiança torna estes aspetos fáceis de verificar.

O Proton Pass é de código aberto e auditado?

Sim. As aplicações do Proton Pass são de código aberto e foram auditadas de forma independente por especialistas em segurança de terceiros, com os resultados publicados. A Proton está sediada na Suíça e protege os seus dados com encriptação ponto a ponto.