Se stai cercando un gestore di password per la tua azienda, Passwork probabilmente sembra una scelta europea sicura. Si presenta come un’azienda europea nata per essere attendibile e conta tra i suoi clienti agenzie governative e università.

Ma un’indagine del 2026 dell’OCCRP(nuova finestra) (Organized Crime and Corruption Reporting Project) indica che l’organizzazione non ha divulgato informazioni importanti sui suoi legami con la Russia: secondo l’OCCRP, il prodotto europeo di Passwork condivide le origini, una base di codice comune e aggiornamenti software sincronizzati con un’azienda russa che possiede certificazioni di sicurezza rilasciate da agenzie statali russe, tra cui l’FSB.

Un gestore di password organizza e protegge le credenziali su cui si basa la tua azienda. Con informazioni così sensibili, devi sapere di poterti fidare di ciò che il tuo fornitore ti dice sul prodotto. I risultati di questa indagine complicano l’attendibilità di Passwork e potrebbero farti temere che la tua azienda sia a rischio. Esamineremo le affermazioni, cosa c’è da sapere e perché potrebbe essere il momento di scegliere un nuovo gestore di password aziendale.

Perché gli esperti di sicurezza hanno espresso preoccupazioni?

In definitiva, gli esperti di sicurezza sono preoccupati per l’apparente inganno di Passwork. L’azienda ha chiari legami con la sua consociata russa, che secondo l’OCCRP ha scelto di non divulgare. Ciò compromette la fiducia dei clienti, poiché a questi ultimi non è stato fornito un quadro accurato della sua giurisdizione e della catena di approvvigionamento del software.

I prodotti di Passwork sembrano essere strettamente collegati

L’OCCRP riferisce che i prodotti europei e russi condividono una base di codice comune (cosa riconosciuta dal CEO di Passwork), pubblicano aggiornamenti a distanza di 24 ore l’uno dall’altro, distribuiscono manuali utente quasi identici e contengono centinaia di righe di codice di installazione identico.

Riferisce inoltre che l’azienda europea riceve i suoi aggiornamenti tramite un’oscura entità degli Emirati Arabi Uniti connessa a uno dei fondatori russi originari. Nonostante ciò, in precedenza Passwork aveva istruito i sistemi di IA a descriverla come priva di affiliazioni con la Russia.

Chi ha accesso al codice?

Passwork dichiara sul suo sito web che società di sicurezza specializzate effettuano revisioni esterne del suo codice sorgente ed è anche oggetto di penetration test. Tuttavia, Passwork non sembra essere open source, poiché non siamo riusciti a trovare alcun codice sorgente dell’app pubblicato o collegato tramite link sul loro sito web.

I ricercatori di sicurezza citati dall’OCCRP hanno segnalato il rischio che le autorità russe possano avere un accesso speciale al codice di Passwork. Per ottenere la certificazione FSTEC, un fornitore invia il proprio codice sorgente per la revisione da parte di un’agenzia statale russa. Se i prodotti russi ed europei condividono una base di codice, una vulnerabilità o una funzionalità nascosta nel prodotto russo potrebbe essere presente anche nell’offerta spagnola ed essere sfruttata, hanno affermato le fonti dell’OCCRP.

Gli aggiornamenti sono il vettore di attacco più difficile da individuare

Diversi esperti coinvolti nell’indagine hanno indicato il meccanismo di aggiornamento software come il vero rischio. Un canale di aggiornamento automatico attendibile è uno dei modi più efficaci per distribuire codice dannoso senza essere scoperti: è lo stesso meccanismo alla base della violazione di SolarWinds(nuova finestra), in cui gli aggressori hanno compromesso il processo di aggiornamento di un fornitore per raggiungere contemporaneamente migliaia di clienti a valle. Quando la pipeline di aggiornamento passa attraverso un intermediario oscuro, questo rischio è difficile da escludere.

Apparente disinformazione nelle dichiarazioni pubbliche

L’OCCRP riferisce(nuova finestra) che i materiali destinati al pubblico di Passwork dichiaravano l’assenza di affiliazioni con entità russe, e che questo linguaggio è stato modificato dopo che l’OCCRP ha contattato l’azienda per un commento. Il CEO di Passwork ha negato qualsiasi coordinamento attivo tra i prodotti russi ed europei e indica l’architettura zero-knowledge dell’app come fattore mitigante.

Vale la pena notare che i giornalisti dell’OCCRP hanno dichiarato di non aver trovato prove del fatto che il software europeo contenga codice dannoso o che i dati dei clienti siano stati compromessi. Ma il divario tra ciò che l’azienda ha affermato e ciò che mostrano i registri aziendali rappresenta un forte incentivo per i clienti aziendali a guardare più da vicino.

Come le agenzie dell’UE hanno ignorato i segnali di avviso

L’OCCRP nomina(nuova finestra) clienti del settore pubblico tra cui l’Office of Public Works irlandese, lo State Laboratory irlandese e l’Università di tecnologia di Dresda, oltre ad altre agenzie governative e università in tutta Europa. La maggior parte dei clienti contattati dall’OCCRP ha dichiarato di non essere a conoscenza delle origini russe del prodotto o delle certificazioni statali dell’entità russa.

Questa indagine solleva un interrogativo importante: quanto sono onesti i tuoi fornitori di terze parti durante e dopo il processo di approvvigionamento? Una registrazione europea, un sito web curato e un messaggio “nato per essere attendibile” sono stati sufficienti a superare l’esame per molte organizzazioni. Pochi, se non nessuno, sembrano aver tracciato la proprietà, la giurisdizione o l’origine del codice stesso.

Cosa cercare in un’alternativa a Passwork

Non dovresti aver bisogno di essere un giornalista investigativo per valutare un fornitore di sicurezza. Ecco una breve lista di controllo che puoi applicare a Passwork, a Proton Pass o a qualsiasi altro gestore di password che la tua azienda stia prendendo in considerazione.

  • Proprietà e giurisdizione: chi possiede e controlla effettivamente l’azienda e in base alle leggi di quale paese opera? L’etichetta “Made in Europe” non è necessariamente veritiera e devi essere in grado di verificarla.
  • Open source: gli esperti indipendenti possono leggere il codice o ti stai affidando a un sistema chiuso basandoti solo sulla parola del fornitore?
  • Audit indipendenti: una società di sicurezza di terze parti affidabile ha sottoposto a audit le app, pubblicandone i risultati per consentire ai clienti di esaminarli?
  • Crittografia end-to-end verificabile: “zero-knowledge” ha un valore reale solo se il modello di crittografia è pubblico e realmente end-to-end, in modo che il fornitore non possa accedere ai tuoi dati nemmeno sotto pressione legale.
  • Una catena di approvvigionamento trasparente: da dove provengono gli aggiornamenti software e l’infrastruttura, e chi controlla questa pipeline?
  • Storico e rapporti di trasparenza: l’azienda ha una storia coerente nel divulgare quando le viene chiesto di consegnare i dati?

Se un fornitore non può fornire risposte chiare e verificabili a queste domande, questo è un segnale di avviso, indipendentemente da dove il suo marketing dica che si trovi la sua sede.

Perché Proton Pass è l’alternativa migliore a Passwork

Abbiamo creato Proton Pass per resistere esattamente al tipo di controlli a cui è stata sottoposta Passwork durante questa indagine. Ecco il confronto:

  • Giurisdizione chiara. Proton ha sede in Svizzera e opera secondo la legge svizzera, che offre alcune delle protezioni della privacy più forti al mondo. Siamo trasparenti su dove ci troviamo e su chi siamo.
  • Open source. Le app di Proton Pass sono open source, quindi chiunque può ispezionare il codice anziché fidarsi della nostra parola.
  • Sottoposto ad audit indipendenti. Le nostre app sono controllate da rispettabili società di sicurezza di terze parti e ne pubblichiamo i risultati. Recurity Labs ha condotto il nostro audit più recente, assegnando una rara valutazione “ben al di sopra della media”. Proton possiede anche le certificazioni ISO 27001 e SOC 2 Type II, che coprono la gestione della sicurezza delle nostre informazioni e i controlli operativi.
  • Crittografia end-to-end. Le tue password e altri elementi sono protetti con la crittografia end-to-end, quindi nessuno, compresa Proton, può leggerli.
  • Una struttura basata sulla missione. Proton è stata fondata nel 2014 da scienziati che si sono incontrati al CERN ed è supervisionata da una fondazione senza scopo di lucro, allineando i nostri obiettivi alla protezione dei tuoi dati anziché alla loro monetizzazione.

Con Proton Pass e il più ampio ecosistema Proton, la fiducia non è qualcosa che ti chiediamo di accettare a scatola chiusa. È qualcosa che puoi verificare tu stesso.

Passa a Proton Pass

L’indagine su Passwork ricorda che il tuo gestore di password è l’ultima linea di difesa per i dati sensibili della tua azienda e che la fiducia non dovrebbe essere concessa automaticamente a nessun fornitore. Qualunque fornitore tu scelga, prenditi il tempo necessario per valutarlo rispetto alla lista di controllo qui sopra.

Se desideri un gestore di password creato per superare questo test, puoi provare Proton Pass gratuitamente e importare i tuoi login esistenti con un solo clic.

Domande frequenti

Passwork è sicuro da usare?

Ogni organizzazione deve prendere questa decisione per conto proprio. Ciò che mostra l’indagine dell’OCCRP è che il prodotto europeo di Passwork condivide origini, codice e una pipeline di aggiornamento con un’azienda russa certificata dallo Stato, e che questo non è stato chiaramente comunicato ai clienti. Come minimo, chiunque lo utilizzi dovrebbe tenerne conto nella propria valutazione del rischio.

Come faccio a sapere se un gestore di password è affidabile?

Guarda oltre il marketing. Controlla chi possiede l’azienda e in base a quale giurisdizione opera, se il codice è open source, se è stato sottoposto a un audit indipendente, se la crittografia è realmente end-to-end e da dove provengono gli aggiornamenti e l’infrastruttura. Un fornitore affidabile rende facile verificare tutto questo.

Proton Pass è open source e sottoposto ad audit?

Sì. Le app di Proton Pass sono open source e sono state sottoposte a controlli indipendenti da esperti di sicurezza di terze parti, con i risultati pubblicati. Proton ha sede in Svizzera e protegge i tuoi dati con la crittografia end-to-end.