En password manager solgt fra Barcelona under mærket “Made in Europe” bygger på software, der blev skrevet i Rusland. Sagen viser, at registreringslandet siger lidt om, hvor koden udvikles, og hvem der leverer opdateringerne.
Sagen kort
Passwork Europe S.L. i Barcelona sælger password manageren Passwork til europæiske organisationer. Selskabets eget website beskriver produktet som “Made in Europe” og angiver Passwork Europe SL, Barcelona, som afsender, ifølge passwork.pro (læst 30. oktober 2026). Direktør og eneaktionær er Alexander Muntyan, der er russisk statsborger.
Den 17. juli 2026 offentliggjorde OCCRP en undersøgelse sammen med blandt andre Investico, De Tijd, Yle, Irish Times og Le Monde. Den er genudgivet af VSquare og faktatjekket af OCCRP’s egen faktatjekafdeling. Ifølge undersøgelsen har produktet fælles oprindelse med en russisk udgave, som er certificeret af russiske myndigheder. Irish Times beskrev samme dag, hvordan irske statslige organer var blevet kunder.
Hvad skete der, dato for dato
- Juni 2014 · Domænerne passwork.ru og passwork.pro blev registreret til den samme adresse i Arkhangelsk af medstifteren Andrey Pyankov, ifølge OCCRP.
- Maj 2017 · Passwork Oy blev registreret i Finland. De to russiske medstiftere, Pyankov og Ilya Garakh, ejede hver 35 procent, og et finsk investeringsselskab ejede 30 procent.
- Maj 2022 · Medstifterne solgte deres andele i det finske selskab.
- Juli 2022 · Passwork FZ-LLC blev registreret i Ras Al Khaimah i De Forenede Arabiske Emirater med Pyankov som leder. Ejerne er ikke offentlige.
- November 2022 · Passwork LLC blev oprettet i Rusland af de to medstiftere med samme logo.
- 2024 · Det finske selskab blev likvideret, og Passwork Europe S.L. blev registreret i Spanien. Muntyan oplyser, at han samme år købte rettighederne til softwaren af selskabet i Emiraterne.
- 6. og 7. april 2026 · Version 7.6 blev annonceret på passwork.ru og dagen efter på passwork.pro med samme beskrivelse.
- 17. juli 2026 · OCCRP og partnerne offentliggjorde undersøgelsen.
- August 2026 · Her skulle en overgangsperiode for rettighedsoverdragelsen ifølge Muntyan slutte. Om den er afsluttet, fremgår ikke af de kilder, der er læst 30. oktober 2026.
Hvem besluttede
Kunderne valgte produktet på grundlag af leverandørens oplysninger. Det europæiske selskab havde lagt en instruks til AI-systemer på sitet om, at selskabet ingen tilknytning havde til enheder uden for Europa, heller ikke i USA eller Rusland. Instruksen blev fjernet, efter at OCCRP havde kontaktet Muntyan, ifølge VSquares gengivelse.
Den russiske udgave har certifikater fra FSB og fra FSTEC, som hører under Ruslands forsvarsministerium. FSTEC’s regler forudsætter en analyse af kildekoden hos et statsakkrediteret laboratorium for sårbarheder og funktioner, der ikke er erklæret. Hvad der konkret blev indleveret, kunne journalisterne ikke klarlægge. FSTEC svarede ikke på henvendelser.
Hvilken mekanisme
Mekanismen ligger i udviklings- og opdateringskæden og ikke i hosting. Passwork installeres hos kunden, og Muntyan oplyser, at krypteringen er zero-knowledge, så leverandøren ikke har adgang til kundens data. Hosting og ejerskab af det sælgende selskab kan derfor se europæisk ud, mens den kode, der kører hos kunden, har en anden oprindelse.
Det europæiske selskab har modtaget opdateringer fra selskabet i Emiraterne. De seneste seks opdateringer fulgte samme tidslinje som den russiske udgave. Sikkerhedsforskeren Lukasz Olejnik sammenlignede installationsscripts og fandt 517 linjer, han betegnede som stort set identiske. Han vurderede, at opdelingen mellem EU og Rusland ser ud til at være teknisk overfladisk.
Muntyan afviser enhver relation til det russiske selskab. De deler ifølge ham hverken kunder, servere, support, kundeoplysninger eller administrativ adgang. Han anerkender en fælles oprindelse i kodebasen og oplyser, at hans eget team gennemgår opdateringer, før de tages i brug. Garakh yder ifølge Muntyan begrænset støtte til vidensoverdragelse gennem selskabet i Emiraterne, men har ingen adgang til følsomt materiale, skrev Irish Times.
Hvad undersøgelsen fandt, og hvad den lod stå åbent
OCCRP fandt ingen tegn på ondsindet kode i den europæiske software. Der var heller ingen tegn på, at data var kompromitteret, eller på ulovligheder hos selskabet eller dets ledelse. Irish Times beskriver risikoen som teoretisk.
Undersøgelsen kunne ikke fastslå, hvor meget den europæiske software i dag ligner den russiske. Den kunne heller ikke bekræfte, hvem der ejer og styrer opdateringskæden i Emiraterne, eller detaljerne i den overdragelse af rettigheder, Muntyan har beskrevet. Garakh, Pyankov og selskabet i Emiraterne svarede ikke.
Hvad kunderne kunne have vidst på forhånd
OCCRP kontaktede omkring 30 organisationer, der fremstod som kunder. Over et dusin bekræftede, at medarbejdere brugte Passwork, og alle på nær én kendte ikke til den russiske oprindelse. Otte navngivne organisationer, blandt dem Enel og Deutsche Post, oplyste, at de ikke brugte produktet.
I Irland havde Office of Public Works og Competition and Consumer Protection Commission brugt Passwork siden 2022, ifølge Irish Times. Konkurrencemyndigheden skrev, at den havde valgt produktet i den tro, at leverandøren var EU-baseret. Office of Public Works havde ikke fundet sikkerhedsrisici, men undersøger andre muligheder. State Laboratory, der blev kunde i 2024, oplyste, at henvendelsen havde vist en ny mulig risiko, og at produktet nu bliver gennemgået.
Meget af kæden var offentligt tilgængelig. Domæneregistreringerne, det finske selskabs ejerkreds og den russiske udgaves samtidige versionsnoter kunne findes før købet. Et opslag efter → juridisk enhed og moderselskab havde vist en russisk eneejer. Spørgsmålet om, hvem der leverer opdateringerne, hører til → leverandørkæden.
Hvad sagen ikke viser
Sagen viser ikke, at Passwork Europe har givet russiske myndigheder adgang til kunders data. Den viser heller ikke, at den europæiske kode indeholder bagdøre eller fejl. Zero-knowledge-arkitekturen kan begrænse, hvad leverandøren selv har af data.
Sagen viser, at “Made in Europe” beskriver det sælgende selskab og ikke kodens oprindelse eller den kæde, opdateringerne kommer igennem. En password manager har adgang til alt det, den beskytter, og opdateringer installeres typisk med høje rettigheder. Den samme problemstilling er beskrevet for kontorpakker under → Euro-Office og kodens oprindelse. Markedsføring kontra dokumentation er behandlet under → sovereignty washing.
Spørgsmål til leverandøren
Svarene bør foreligge skriftligt og indgå i leverandøroversigten. Spørgsmålene supplerer → de seks spørgsmål til leverandøren.
- Hvem ejer selskabet, og hvem ejer rettighederne til koden · Spørg efter ejerkæden helt op og efter, hvilken juridisk enhed der har ophavsret og varemærke.
- Hvor udvikles og testes koden · Spørg efter lande og selskaber, også underleverandører og tidligere ejere med fortsat adgang.
- Hvem bygger og signerer opdateringerne · Spørg, hvilken enhed der producerer de pakker, I installerer, og hvordan I kan efterprøve dem.
- Deles kode med andre udgaver · Spørg, om produktet har søsterudgaver i andre lande, og om de certificeres af myndigheder, der får adgang til kildekoden.
- Har der været ejerskifte eller overdragelse · Spørg efter datoer og om overgangsaftaler, der giver tidligere ejere adgang.
Læren for en exit-plan
En leverandør kan opfylde krav om europæisk selskab og lokal drift og alligevel have en udviklingskæde uden for EU. For sikkerhedskritisk software skal exit-planen derfor omfatte kodens og opdateringernes vej. Fire handlinger følger af sagen.
- Udvid trin 2 til softwaren · Notér for hvert sikkerhedskritisk produkt både sælgeren og den enhed, der ejer og udvikler koden, jf. → trin 2.
- Kortlæg opdateringskæden i trin 3 · Skriv ned, hvem der bygger og leverer opdateringer, ved siden af hosting og underdatabehandlere, jf. → trin 3.
- Hav en plan for at skifte password manager · Afprøv eksport af alle hemmeligheder i et åbent format, og vurder alternativer efter samme fire punkter som i → trin 7. Konkrete produkter er gennemgået under → password managers.
- Gentag kontrollen ved ejerskifte · En overdragelse af rettigheder ændrer svarene, se → opkøb og ejerskifte.
Leverandører fra lande uden for det sikkerhedspolitiske fællesskab er behandlet i → denne artikel. Hvor mange produkter skal kortlægges på ejerskab og leverandørkæde, kan en jurisdiktions- og afhængighedsvurdering samle svarene pr. system.
Kilder
- OCCRP (Antonio Baquero, Marc Hofer) og StateWatch (Anna Holishevska): European Password Manager Shares Origins and Updates with State-Certified Russian Firm, 17. juli 2026, faktatjekket af OCCRP Fact-Checking Desk. https://www.occrp.org/en/investigation/european-password-manager-shares-origins-and-updates-with-state-certified-russian-firm
- VSquare: European Password Manager Shares Origins and Updates with State-Certified Russian Firm (genudgivelse af OCCRP-undersøgelsen), 18. juli 2026. https://vsquare.org/?p=9777
- The Irish Times (Conor Gallagher): How Russian password technology made its way into Irish State agencies, 17. juli 2026. https://www.irishtimes.com/ireland/2026/07/17/how-russian-password-technology-made-its-way-into-irish-state-agencies/
- Passwork Europe SL: forside på passwork.pro, læst 30. oktober 2026. https://passwork.pro/
