Se você está procurando um gerenciador de senhas para a sua empresa, o Passwork provavelmente parece uma escolha europeia segura. Ele se promove como uma empresa europeia desenvolvida para gerar confiança e conta com agências governamentais e universidades entre seus clientes.

Mas uma investigação de 2026 do OCCRP(nova janela) (Organized Crime and Corruption Reporting Project) indica que a organização não divulgou informações importantes sobre seus vínculos com a Rússia: de acordo com o OCCRP, o produto europeu do Passwork compartilha suas origens, uma base de código comum e atualizações de software sincronizadas com uma empresa russa que possui certificações de segurança de agências estatais russas, incluindo o FSB.

Um gerenciador de senhas organiza e protege as credenciais nas quais a sua empresa se apoia. Com informações tão confidenciais, você precisa saber que pode confiar no que o seu provedor diz sobre o produto. Os resultados desta investigação complicam a confiabilidade do Passwork e podem deixar você preocupado com o fato de sua empresa estar em risco. Vamos explorar as alegações, o que você precisa saber e por que pode ser a hora de escolher um novo gerenciador de senhas empresarial.

Por que os especialistas em segurança levantaram preocupações?

No fim das contas, os especialistas em segurança estão preocupados com a aparente farsa do Passwork. A empresa tem vínculos claros com sua empresa irmã russa, os quais o OCCRP afirma que ela optou por não divulgar. Isso compromete a confiança dos clientes, pois eles não receberam uma visão precisa de sua jurisdição e de sua cadeia de suprimentos de software.

Os produtos do Passwork parecem estar estreitamente vinculados

O OCCRP relata que os produtos europeu e russo compartilham uma base de código comum (algo que o CEO do Passwork reconheceu), lançam atualizações com uma diferença de até 24 horas entre si, distribuem manuais do usuário quase idênticos e contêm centenas de linhas de código de instalador idênticas.

Ele também relata que a empresa europeia recebe suas atualizações por meio de uma entidade obscura dos Emirados Árabes Unidos conectada a um dos fundadores russos originais. Apesar disso, o Passwork havia instruído anteriormente sistemas de IA a descrevê-lo como não tendo afiliações com a Rússia.

Quem tem acesso ao código?

O Passwork afirma em seu site que empresas especializadas em segurança realizam revisões externas de seu código-fonte e que ele também está sujeito a testes de intrusão. No entanto, o Passwork não parece ser de código aberto, pois não conseguimos encontrar nenhum código-fonte do aplicativo publicado ou com link em seu site.€

Pesquisadores de segurança citados pelo OCCRP alertaram para o risco de que as autoridades russas possam ter acesso especial ao código do Passwork. Para obter a certificação FSTEC, um fornecedor envia seu código-fonte para revisão por uma agência estatal russa. Se os produtos russo e europeu compartilham uma base de código, uma vulnerabilidade ou recurso oculto no produto russo também poderia estar presente na versão espanhola e ser explorado, disseram as fontes do OCCRP.€

As atualizações são o vetor de ataque mais difícil de detectar

Vários especialistas na investigação apontaram o mecanismo de atualização de software como o risco real. Um canal de atualização automática de confiança é uma das maneiras mais eficazes de distribuir código malicioso sem ser detectado — é o mesmo mecanismo por trás da violação da SolarWinds(nova janela), em que invasores comprometeram o processo de atualização de um fornecedor para atingir milhares de clientes de uma só vez. Quando o fluxo de atualizações passa por um intermediário obscuro, é difícil descartar esse risco.

Aparente desinformação em declarações públicas

O OCCRP relata(nova janela) que os materiais públicos do Passwork afirmavam que ele não tinha afiliações com entidades russas, e que esse texto foi alterado depois que o OCCRP entrou em contato com a empresa para obter comentários. O CEO do Passwork negou qualquer coordenação ativa entre os produtos russo e europeu e aponta a arquitetura de conhecimento zero do aplicativo como um fator atenuante.

Vale ressaltar que os repórteres do OCCRP disseram não ter encontrado evidências de que o software europeu contenha código malicioso ou de que quaisquer dados de clientes tenham sido comprometidos. Mas a lacuna entre o que a empresa alegou e o que os registros corporativos mostram é um forte incentivo para que os clientes empresariais olhem mais de perto.

Como as agências da UE ignoraram os sinais de alerta

O OCCRP cita(nova janela) clientes do setor público, incluindo o Office of Public Works da Irlanda, o State Laboratory da Irlanda e a Universidade de Tecnologia de Dresden, além de outras agências governamentais e universidades por toda a Europa. A maioria dos clientes com quem o OCCRP entrou em contato disse não saber das origens russas do produto ou das certificações estatais da entidade russa.

Esta investigação levanta uma questão importante: quão honestos são seus fornecedores terceiros durante o processo de aquisição e após ele? Um registro europeu, um site bem elaborado e uma mensagem de “desenvolvido para gerar confiança” foram suficientes para passar no crivo de muitas organizações. Poucos, ou talvez nenhum deles, parecem ter rastreado a propriedade, a jurisdição ou a origem do próprio código.

O que procurar em uma alternativa ao Passwork

Você não deveria precisar ser um jornalista investigativo para avaliar um provedor de segurança. Aqui está uma pequena lista de verificação que você pode aplicar ao Passwork, ao Proton Pass ou a qualquer outro gerenciador de senhas que a sua empresa esteja considerando.

  • Propriedade e jurisdição: quem realmente possui e controla a empresa e sob as leis de qual país ela opera? Um marcador “Feito na Europa” não é necessariamente verdadeiro, e você precisa ser capaz de verificar isso.
  • Código aberto: especialistas independentes podem ler o código ou você está confiando em um sistema fechado apenas com base na palavra do fornecedor?
  • Auditorias independentes: uma empresa de segurança terceirizada de boa reputação auditou os aplicativos, com os resultados publicados para análise dos clientes?
  • Criptografia de ponta a ponta verificável: o conceito de “conhecimento zero” só significa algo se o projeto de criptografia for público e genuinamente de ponta a ponta, para que o provedor não possa acessar seus dados mesmo sob pressão jurídica.
  • Uma cadeia de suprimentos transparente: de onde vêm as atualizações de software e a infraestrutura, e quem controla esse fluxo?
  • Histórico e relatórios de transparência: a empresa tem um histórico consistente de divulgação de quando é solicitada a fornecer dados?

Se um provedor não puder dar respostas claras e verificáveis a essas perguntas, isso é um sinal de alerta, independentemente de onde o seu marketing diz que ele está sediado.

Por que o Proton Pass é a melhor alternativa ao Passwork

Desenvolvemos o Proton Pass para resistir exatamente ao tipo de escrutínio aplicado ao Passwork durante esta investigação. Veja como ele se compara:

  • Jurisdição clara. A Proton está sediada na Suíça e opera sob a lei suíça, que possui algumas das proteções de privacidade mais fortes do mundo. Somos transparentes sobre onde estamos e quem somos.
  • Código aberto. Os aplicativos do Proton Pass são de código aberto, para que qualquer pessoa possa inspecionar o código em vez de apenas acreditar na nossa palavra.
  • Auditado de forma independente. Nossos aplicativos são auditados por empresas de segurança terceirizadas respeitadas, e nós publicamos os resultados. A Recurity Labs realizou nossa auditoria mais recente, dando uma rara avaliação de “muito acima da média”. A Proton também possui certificações ISO 27001 e SOC 2 Tipo II, cobrindo nossa gestão de segurança da informação e controles operacionais.
  • Criptografia de ponta a ponta. Suas senhas e outros itens são protegidos com criptografia de ponta a ponta, para que ninguém, inclusive a Proton, possa lê-los.
  • Uma estrutura orientada por missões. A Proton foi fundada em 2014 por cientistas que se conheceram no CERN e é supervisionada por uma fundação sem fins lucrativos, alinhando nossos incentivos com a proteção de seus dados, em vez de sua monetização.

Com o Proton Pass e o ecossistema mais amplo da Proton, a confiança não é algo que pedimos para você aceitar cegamente. É algo que você mesmo pode verificar.

Mudar para o Proton Pass

A investigação do Passwork é um lembrete de que o seu gerenciador de senhas é a última linha de defesa para os dados confidenciais da sua empresa, e que a confiança não deve ser concedida automaticamente a nenhum fornecedor. Seja qual for o provedor que você escolher, reserve um tempo para avaliá-lo em relação à lista de verificação acima.

Se você quer um gerenciador de senhas desenvolvido para passar nesse teste, você pode testar o Proton Pass gratuitamente e importar seus inícios de sessão existentes com um clique.

Perguntas frequentes

O Passwork é seguro para usar?

Cada organização deve tomar essa decisão por si mesma. O que a investigação do OCCRP mostra é que o produto europeu do Passwork compartilha origens, código e um fluxo de atualizações com uma empresa russa certificada pelo Estado, e que isso não foi divulgado claramente aos clientes. No mínimo, qualquer pessoa que o utilize deve levar isso em consideração em sua própria avaliação de risco.

Como saber se um gerenciador de senhas é confiável?

Olhe além do marketing. Verifique quem é o proprietário da empresa e sob qual jurisdição ela opera, se o código é de código aberto, se ele foi auditado de forma independente, se a criptografia é genuinamente de ponta a ponta e de onde vêm suas atualizações e infraestrutura. Um provedor confiável torna tudo isso fácil de verificar.

O Proton Pass é de código aberto e auditado?

Sim. Os aplicativos do Proton Pass são de código aberto e foram auditados de forma independente por especialistas em segurança terceirizados, com os resultados publicados. A Proton está sediada na Suíça e protege seus dados com criptografia de ponta a ponta.