如果您正在为您的企业寻找密码管理器，Passwork 或许看起来是一个安全可靠、来自欧洲的选择。它将自己定位为一家以信任为根基的欧洲公司，客户中不乏政府机构和大学。

但 OCCRP（有组织犯罪和腐败报道项目）2026 年的一项调查（新窗口）表明，该组织并未披露其与俄罗斯之间关系的重要信息：据 OCCRP 报道，Passwork 的欧洲产品与一家俄罗斯公司拥有相同的起源、共同的代码库以及同步的软件更新，而这家俄罗斯公司持有包括俄罗斯联邦安全局（FSB）在内的俄罗斯国家机构颁发的安全认证。

密码管理器负责整理并保护您的企业赖以运转的凭证。面对如此敏感的信息，您需要确信可以信任服务提供商对产品的描述。这项调查的结果使 Passwork 的可信度打上了问号，并可能让您担心您的企业正面临风险。我们将深入探讨这些说法、您需要了解的内容，以及为什么现在可能是时候选择一款新的企业密码管理器。

为什么安全专家会提出担忧？

归根结底，安全专家担心的是 Passwork 看似存在的欺瞒行为。该公司与其俄罗斯姊妹公司有着明显的关联，而据 OCCRP 称，Passwork 选择不披露这一点。这损害了客户对它的信任，因为客户未能准确了解其司法管辖区及其软件供应链的真实情况。

Passwork 的产品似乎密切相关

据 OCCRP 报道，欧洲产品和俄罗斯产品拥有共同的代码库（Passwork 的首席执行官也承认了这一点），两者的更新发布时间相隔不超过 24 小时，附带几乎相同的用户手册，并包含数百行完全相同的安装程序代码。

OCCRP 还报道称，这家欧洲公司通过一个不透明的阿联酋实体接收更新，而该实体与最初的俄罗斯创始人之一有关联。尽管如此，Passwork 此前曾指示 AI 系统将其描述为与俄罗斯没有任何关联。

谁可以访问这些代码？

Passwork 在其网站上声明，专业安全公司会对其源代码进行外部审查，且其应用也会接受渗透测试。然而，Passwork 似乎并非开放源码，因为我们未能在其网站上找到任何已发布或已链接的应用源代码。

OCCRP 援引安全研究人员的话警告称，俄罗斯当局可能对 Passwork 的代码拥有特殊访问权限。为获得 FSTEC 认证，供应商需提交其源代码供俄罗斯国家机构审查。OCCRP 的消息人士称，如果俄罗斯产品和欧洲产品共享代码库，俄罗斯产品中存在的漏洞或隐藏功能也可能出现在西班牙版本中并被利用。

更新是最难察觉的攻击途径

调查中的多位专家指出，软件更新机制才是真正的风险所在。一个受信任的自动更新渠道是在不被察觉的情况下传播恶意代码的最有效方式之一—— SolarWinds 泄露事件（新窗口）的背后正是同样的机制：攻击者入侵了供应商的更新流程，从而一次性波及数千家下游客户。当更新管道经由一个不透明的中间方运行时，这种风险便难以排除。

公开声明中明显的错误信息

OCCRP 报道称（新窗口），Passwork 面向公众的宣传材料曾声明其与俄罗斯实体没有任何关联，而在 OCCRP 联系该公司寻求置评后，这些措辞已被更改。Passwork 的首席执行官拒绝承认俄罗斯产品与欧洲产品之间存在任何主动协调，并将该应用的零知识架构视为一项降低风险的因素。

值得注意的是，OCCRP 的记者表示，他们没有发现任何证据表明欧洲软件包含恶意代码，也没有任何客户数据遭到泄露。但该公司所声称的内容与企业记录所显示的内容之间的差距，足以促使企业客户进一步深入了解。

欧盟机构如何忽视了警告信号

OCCRP 点名（新窗口）的公共部门客户包括爱尔兰公共工程办公室、爱尔兰国家实验室和德累斯顿工业大学，以及欧洲各地的其他政府机构和大学。OCCRP 联系的大多数客户表示，他们并不知道该产品的俄罗斯渊源，也不知道该俄罗斯实体持有国家认证。

这项调查引出了一个重要问题：您的第三方供应商在采购过程中及之后有多诚实？一个欧洲注册地、一个精美的网站以及一条“以信任为本”的宣传语，就足以让许多组织放下戒心。似乎鲜有组织（如果有的话）追溯过代码本身的归属权、司法管辖区或来源。

选择 Passwork 替代品时应注意什么

审核一个安全服务提供商不应该需要您成为一名调查记者。下面是一份简短的核查清单，您可以将其应用于 Passwork、Proton Pass，或您的企业正在考虑的任何其他密码管理器。

  • 归属权和司法管辖区：公司实际由谁拥有和控制？依据哪个国家的法律运营？“欧洲制造”的标签未必属实，您需要能够加以验证。
  • 开放源码：独立专家能否阅读代码？还是您仅凭供应商的一面之词就信任一个封闭系统？
  • 独立审计：是否有信誉良好的第三方安全公司对应用进行过审计，并公布结果供客户查阅？
  • 可验证的端到端加密：只有当加密设计公开且真正实现端到端时，“零知识”才有意义，这样即使面临法律压力，服务提供商也无法访问您的数据。
  • 透明的供应链：软件更新和基础设施来自哪里？谁在控制这条管道？
  • 过往记录和透明度报告：在被要求交出数据时，该公司是否始终如一地予以披露？

如果服务提供商无法对这些问题给出清晰、可验证的答案，那么无论其营销宣传声称自己位于何处，这都是一个警告信号。

为什么 Proton Pass 是比 Passwork 更好的替代品

我们打造 Proton Pass 的初衷，就是让它能够经受住这次调查中针对 Passwork 的那种审视。以下是两者的比较：

  • 清晰的司法管辖区。Proton 总部位于瑞士，依据瑞士法律运营，而瑞士拥有世界上最强的隐私保护法律。我们对我们的所在地和身份保持透明。
  • 开放源码。Proton Pass 应用均为 开放源码，任何人都可以检查代码，而不必仅凭我们的一面之词。
  • 独立审计。我们的应用由备受尊敬的第三方安全公司审计，并且我们会公布审计结果。Recurity Labs 对我们进行了最近一次审计，给出了罕见的“远超平均水平”的评价。Proton 还持有 ISO 27001 和 SOC 2 Type II 认证，涵盖我们的信息安全管理和运营控制。
  • 端到端加密。您的密码和其他项目均受 端到端加密保护，因此任何人（包括 Proton）都无法读取它们。
  • 使命驱动的架构。Proton 由在 CERN 相识的科学家于 2014 年创立，并由一家非营利基金会监督，这使我们的利益与保护您的数据保持一致，而非将其变现。

有了 Proton Pass 和更广泛的 Proton 生态系统，信任不是我们要求您盲目相信的东西，而是您可以亲自验证的东西。

切换到 Proton Pass

Passwork 调查提醒我们，密码管理器是企业敏感数据的最后一道防线，信任不应自动授予任何供应商。无论您选择哪家服务提供商，都请花时间按照上述清单对其进行审核。

如果您想要一款经得起此类考验的密码管理器，可以免费试用 Proton Pass，并一键导入现有的登录凭据。

常见问题

使用 Passwork 安全吗？

每个组织都必须自行做出这一决定。OCCRP 的调查表明，Passwork 的欧洲产品与一家获得俄罗斯国家认证的公司拥有相同的起源、代码和更新管道，而且这一点并未向客户明确披露。至少，任何使用它的人都应将这一点纳入自己的风险评估。

我如何知道一款密码管理器是否值得信任？

不要被营销宣传所迷惑。请核查公司的所有者及其运营所在的司法管辖区、代码是否开放源码、是否经过独立审计、加密是否真正实现端到端，以及其更新和基础设施来自哪里。值得信任的服务提供商会让这些信息易于验证。

Proton Pass 是否开放源码并经过审计？

是的。Proton Pass 应用均为开放源码，并已由第三方安全专家进行独立审计， 审计结果已公布。Proton 总部位于瑞士，并使用端到端加密保护您的数据。