Śledztwo OCCRP i mediów partnerskich stawia pytania o przejrzystość Passwork Europe, hiszpańskiej spółki oferującej menedżer haseł jako rozwiązanie „Made in EU”. Z oprogramowania korzystają europejskie instytucje publiczne, uczelnie i firmy. Dziennikarze ustalili jednak, że produkt powstał w Rosji, a jego europejska wersja nadal wykazuje istotne podobieństwa do rozwiązania sprzedawanego przez rosyjską Passwork LLC.
Analiza techniczna wykazała 517 niemal identycznych linii skryptu instalacyjnego. Zbliżony jest również harmonogram publikacji aktualizacji. Wersja 7.6 pojawiła się w Rosji 6 kwietnia 2026 roku, a dzień później w Europie, z praktycznie takim samym opisem zmian. Aktualizacje dla europejskiej spółki mają pochodzić z firmy w Zjednoczonych Emiratach Arabskich, zarządzanej przez jednego z rosyjskich współzałożycieli Passwork.
Dodatkowe wątpliwości dotyczą rosyjskiej Passwork LLC. Spółka wskazuje wśród klientów firmy związane z przemysłem obronnym i objęte zachodnimi sankcjami. Informuje także o certyfikacji FSTEC, agencji podległej rosyjskiemu Ministerstwu Obrony, oraz autoryzacji FSB. Według ekspertów proces certyfikacji FSTEC zwykle wymaga przekazania kodu źródłowego do analizy państwowo akredytowanemu laboratorium. Przy wspólnej bazie kodu mogłoby to ujawnić podatności występujące również w wersji europejskiej.
Nie ma jednak dowodów, że europejskie oprogramowanie zawiera złośliwy kod, zostało zmodyfikowane przez rosyjskie służby lub doprowadziło do wycieku danych. Szef Passwork Europe, Alexander Muntyan, zapewnia, że spółki nie współdzielą klientów, serwerów, wsparcia ani dostępu administracyjnego. Podkreśla też, że szyfrowanie odbywa się lokalnie na serwerach klientów, więc dostawca nie ma dostępu do ich haseł.
Reakcje klientów są różne. Irlandzkie laboratorium państwowe rozpoczęło przegląd ryzyka, podczas gdy brukselski dostawca usług IT Paradigm nie dostrzega funkcjonalnego wpływu historycznych powiązań na bezpieczeństwo. Osiem firm przedstawianych jako klienci, w tym Enel i Deutsche Post, zaprzeczyło natomiast korzystaniu z produktu. Sprawa pokazuje, że przy wyborze narzędzi cyberbezpieczeństwa znaczenie ma nie tylko architektura produktu, ale również przejrzystość właścicielska i kontrola nad aktualizacjami.
