Passwork, il password manager europeo con un cuore russo

Un password manager aziendale non è una semplice applicazione destinata a ricordare le credenziali degli utenti. È una cassaforte digitale nella quale possono essere concentrati gli accessi amministrativi ai server, le chiavi SSH, i token utilizzati dalle API, i certificati, le credenziali dei servizi cloud, i codici TOTP e gli altri segreti necessari al funzionamento di un’infrastruttura informatica.

Chi riesce a controllare questa cassaforte non ottiene soltanto l’accesso a un computer, ma può acquisire le chiavi necessarie per muoversi attraverso l’intera rete di un’organizzazione, raggiungere i sistemi più sensibili, disattivare le difese e mantenere una presenza persistente senza essere immediatamente individuato. È per questo che il caso Passwork non può essere considerato una semplice controversia sulla nazionalità di una società tecnologica.

Riguarda direttamente la sicurezza della supply chain digitale europea e il livello di fiducia che amministrazioni pubbliche, università, imprese e operatori di infrastrutture critiche possono accordare a un software nel quale vengono custodite le credenziali più importanti.

Passwork Europe S.L. si presenta sul mercato come una società europea con sede a Barcellona, proprietaria di un password manager destinato soprattutto alle organizzazioni che vogliono conservare i propri dati all’interno di server aziendali.

Sul piano formale si tratta effettivamente di una società spagnola, costituita nell’agosto 2024 e controllata dal suo amministratore Alexander Muntyan. Sul piano storico e tecnologico, però, la separazione dall’originario ecosistema russo appare molto meno netta.

Il software Passwork fu creato nel 2014 ad Arkhangelsk, nella Russia settentrionale, da Ilya Garakh e Andrey Pyankov. Nel 2017 l’attività rivolta ai clienti occidentali venne trasferita in Finlandia attraverso Passwork Oy, mentre dopo l’invasione su larga scala dell’Ucraina e la liquidazione della società finlandese i diritti sul prodotto passarono attraverso Passwork FZ-LLC, registrata negli Emirati Arabi Uniti.

Soltanto successivamente è nata la società di Barcellona, che ha acquisito dalla struttura emiratina i diritti per sviluppare, distribuire e assistere la versione internazionale del software. La stessa Passwork Europe riconosce che, fino al 30 agosto 2026, la società degli Emirati continuerà a fornirle aggiornamenti del codice sorgente e trasferimento di conoscenze tecniche.

Dietro la veste societaria europea rimane quindi una linea di continuità che attraversa Russia, Finlandia, Emirati Arabi Uniti e Spagna.

Passwork Europe afferma di essere completamente indipendente dalla società russa Passwork LLC, di non condividere con essa clienti, server, sistemi di assistenza, registri o ambienti amministrativi e di disporre di propri processi decisionali. Tuttavia, le due versioni del prodotto derivano dalla stessa base di codice e hanno continuato a mostrare somiglianze sostanziali. I manuali delle versioni russa ed europea risultano quasi sovrapponibili, le funzionalità coincidono e gli aggiornamenti sono stati pubblicati secondo tempistiche molto ravvicinate.

Il 6 aprile 2026 il sito russo ha annunciato Passwork 7.6; il giorno successivo la medesima versione è stata presentata sul sito europeo, con una descrizione praticamente identica delle nuove funzioni. Un’analisi degli script di installazione ha inoltre rilevato centinaia di righe sostanzialmente coincidenti. Passwork Europe attribuisce questa sincronizzazione alla comune origine del codice e al periodo transitorio durante il quale riceve ancora aggiornamenti dalla società emiratina. Proprio questa spiegazione, tuttavia, conferma che la separazione societaria non ha ancora prodotto una piena separazione tecnologica.

L’elemento più delicato riguarda la società russa Passwork LLC, fondata ad Arkhangelsk dagli originari sviluppatori del software e attiva sul mercato interno. Questa struttura utilizza lo stesso marchio e indica tra i propri clienti aziende del complesso militare-industriale russo, comprese imprese coinvolte nella produzione di missili, sistemi spaziali e mezzi navali, oltre a grandi gruppi sottoposti a sanzioni occidentali. La società russa dispone inoltre di una licenza rilasciata nel 2025 dall’FSB per attività relative agli strumenti crittografici e di due licenze FSTEC ottenute nel 2024, che le consentono di sviluppare e fornire soluzioni per la sicurezza informatica anche a imprese statali e grandi gruppi russi.

Il possesso di queste licenze non dimostra automaticamente una collaborazione operativa con l’intelligence, ma indica che Passwork LLC opera all’interno del sistema di regolamentazione e supervisione delle autorità di sicurezza russe.

È necessario essere precisi: non esistono prove pubbliche che la versione europea del software contenga una backdoor, che Passwork abbia trasferito password alle autorità russe o che i dati dei clienti europei siano stati compromessi. La certificazione o la licenza dell’FSB non dimostra automaticamente una collaborazione operativa con l’intelligence. Indica però che la società russa opera all’interno del sistema di sicurezza nazionale di Mosca e che il suo prodotto è stato sottoposto ai procedimenti previsti dalle autorità russe per gli strumenti crittografici.

La certificazione FSTEC presenta un ulteriore profilo di rischio. Per ottenere l’approvazione, il prodotto deve essere sottoposto a esami tecnici approfonditi da parte di laboratori accreditati, diretti anche a individuare vulnerabilità e funzionalità non dichiarate. Non è stato possibile accertare pubblicamente quali componenti del codice siano stati consegnati agli organismi russi, né quanto la versione sottoposta alla verifica coincida con quella distribuita in Europa. Tuttavia, quando due prodotti derivano dalla stessa base di codice, presentano manuali quasi identici e ricevono aggiornamenti sostanzialmente sincronizzati, le vulnerabilità individuate in una versione possono essere rilevanti anche per l’altra. Una verifica condotta nell’ambito del sistema statale russo potrebbe quindi offrire alle autorità di Mosca una conoscenza approfondita dell’architettura, dei meccanismi crittografici e dei possibili punti deboli di un software utilizzato anche da enti pubblici europei. Occorre riconoscere l’esistenza di un rischio strategico che non può essere neutralizzato dalla semplice registrazione di una società in Spagna.

La delicatezza della questione emerge con maggiore evidenza osservando quali organizzazioni abbiano effettivamente adottato Passwork. Tra gli utilizzatori che hanno confermato l’impiego del prodotto figurano Paradigm, l’agenzia digitale che gestisce servizi informatici per la Regione di Bruxelles-Capitale, l’Office of Public Works e lo State Laboratory irlandesi, l’amministrazione del distretto tedesco di Hildesheim e la Technische Universität Dresden.

Paradigm utilizza Passwork dal maggio 2021 e ha dichiarato che 41 dipendenti accedono al sistema per gestire le credenziali relative ai diversi enti assistiti. Ancora più significativo è il fatto che alcuni organismi pubblici irlandesi abbiano affermato di conoscere soltanto la società registrata in Spagna e di non essere stati informati dei collegamenti del prodotto con l’originario ecosistema russo. Lo State Laboratory, dopo aver appreso questi elementi, ha avviato una revisione del software e dei rischi connessi. Non si tratta quindi di una vulnerabilità confinata a un prodotto marginale, ma di una potenziale dipendenza tecnologica già presente all’interno di strutture che gestiscono servizi, dati e credenziali della pubblica amministrazione europea.

Passwork viene normalmente installato secondo un modello on-premise, nel quale il database rimane sui server del cliente. L’azienda sostiene inoltre di utilizzare un’architettura zero knowledge, con cifratura e decifratura eseguite sul dispositivo dell’utente attraverso AES-256. Questo modello riduce l’esposizione dei dati, poiché il fornitore non dovrebbe avere accesso diretto alle password custodite nei vault. Non elimina però il rischio collegato al software stesso.

La cifratura lato client protegge i dati archiviati, ma l’utente deve comunque eseguire nel browser o nell’applicazione il codice distribuito dal produttore. Quando una password viene visualizzata, copiata o utilizzata per compilare un modulo, il programma deve necessariamente decifrarla sul dispositivo. Un aggiornamento compromesso non avrebbe quindi bisogno di violare matematicamente AES-256: potrebbe modificare l’applicazione affinché intercetti la master key, copi le credenziali nel momento in cui vengono decifrate o le trasmetta verso un’infrastruttura esterna. È la differenza tra attaccare la crittografia e attaccare il codice che utilizza la crittografia.

Passwork Europe afferma che ogni aggiornamento ricevuto durante il periodo transitorio viene sottoposto ad analisi della composizione software, controlli sulla supply chain, test statici e dinamici, revisione manuale e verifica attraverso una Software Bill of Materials. I pacchetti vengono firmati digitalmente e possono essere installati anche offline, soltanto dopo l’approvazione del cliente. Queste misure, tuttavia, non eliminano completamente il problema della fiducia.

Una firma digitale certifica che il pacchetto proviene dal soggetto titolare della chiave di firma e che non è stato alterato durante il trasferimento; non garantisce che il codice firmato sia privo di funzioni ostili. Se il repository, la pipeline di sviluppo o la chiave privata del fornitore venissero compromessi, un aggiornamento malevolo potrebbe apparire perfettamente autentico. Lo stesso principio è emerso nel caso SolarWinds, quando gli aggressori riuscirono a inserire codice ostile nel processo di produzione di un aggiornamento legittimo, trasformando il normale canale di distribuzione del software in uno strumento di penetrazione delle reti governative.

Per le amministrazioni pubbliche e gli operatori di infrastrutture critiche, la nazionalità formale del fornitore non può quindi rappresentare l’unico criterio di valutazione. Devono essere analizzati l’origine del codice, i soggetti che lo hanno sviluppato, la proprietà intellettuale, i rapporti con società situate in giurisdizioni terze, il controllo degli aggiornamenti e le eventuali interazioni con apparati statali stranieri.

Nel caso Passwork, la sede spagnola e la dichiarata indipendenza societaria convivono con una base di codice nata in Russia, un trasferimento tecnologico ancora in corso attraverso gli Emirati, il coinvolgimento degli originari sviluppatori e l’esistenza di una versione russa il cui produttore è titolare di una licenza FSB e di due licenze FSTEC e il cui software è stato sottoposto alle verifiche previste nell’ambito del sistema FSTEC. La società europea sostiene di non avere alcun rapporto operativo con Passwork LLC e non sono emerse prove pubbliche di un rapporto operativo diretto tra le due società. Ciò che emerge, però, è che la trasformazione in impresa europea appare molto più avanzata sul piano societario che su quello tecnologico.

Le organizzazioni che utilizzano il prodotto dovrebbero pertanto sottoporlo a una valutazione straordinaria, verificare l’effettiva attivazione della cifratura lato client, limitare le connessioni in uscita, controllare ogni aggiornamento in un ambiente separato ed esportare i log verso un SIEM esterno. Le credenziali più sensibili, comprese quelle degli amministratori di dominio, dei sistemi di backup, delle infrastrutture PKI e degli apparati di sicurezza, dovrebbero essere ruotate periodicamente e separate dai vault ordinari. Sarebbe inoltre necessario un audit indipendente del codice distribuito in Europa, della pipeline di compilazione, delle chiavi di firma e dei componenti ricevuti dalla società emiratina. Non una generica certificazione di conformità, ma una verifica capace di ricostruire la provenienza di ogni aggiornamento.

Non esistono prove che Passwork sia uno strumento dell’FSB. Esistono però elementi sufficienti per affermare che la sua presentazione come prodotto esclusivamente europeo non descrive compiutamente la realtà tecnica e storica del software. Quando un programma custodisce le chiavi digitali di governi, università e imprese strategiche, non basta sapere dove sia registrata la società che lo commercializza. Occorre sapere chi ha scritto il codice, chi continua ad aggiornarlo, chi può esaminarlo e sotto quale giurisdizione operano le persone che ne conoscono l’architettura più profonda.

Perché la domanda decisiva non è soltanto dove siano conservate le password. È chi possiede le chiavi per modificare il software che le protegge.

L’articolo Passwork, il password manager europeo con un cuore russo proviene da Difesa Online.

Un password manager aziendale non è una semplice applicazione destinata a ricordare le credenziali degli utenti. È una cassaforte digitale…

L’articolo Passwork, il password manager europeo con un cuore russo proviene da Difesa Online.