La soberanía europea en tecnología ha sido objeto de debate en los últimos tiempos, con gobiernos de diferentes países buscando reducir la dependencia de tecnologías extranjeras, especialmente de Estados Unidos. En este contexto, se ha identificado un problema en un gestor de contraseñas que promete mayor soberanía tecnológica, pero que está compartiendo datos con una empresa fuera de Europa.
Passwork Europe, un gestor de contraseñas con sede en España, es utilizado por organismos públicos, universidades y diversas organizaciones privadas en Europa. Una investigación realizada por OCCRP, una organización no gubernamental de Estados Unidos, ha revelado que Passwork Europe S.L. y la empresa rusa Passwork LLC comparten código fuente, calendarios de lanzamiento similares, documentación parecida y scripts de implementación casi idénticos.
Aunque no se han encontrado indicios de código malicioso, filtraciones de datos o conducta ilícita, los investigadores han expresado preocupación por el intercambio de software, la falta de transparencia en las estructuras de propiedad y la cadena de suministro de actualizaciones. Esto podría representar un riesgo para los clientes que gestionan credenciales sensibles.
Passwork Europe se presenta como una empresa europea, con sede en un país miembro de la Unión Europea, y destaca sus implementaciones en servidores privados. Sin embargo, OCCRP ha descubierto que este producto se originó en Arkhangelsk, Rusia, donde los cofundadores Ilya Garakh y Andrey Pyankov registraron los dominios Passwork.ru y Passwork.pro en 2014.
Según el medio GB Hackers, Alexander Muntyan, director ejecutivo y único accionista de la empresa, ha afirmado que no existe relación operativa entre la compañía española y su homóloga rusa, asegurando que no comparten clientes, servidores, sistemas de soporte, datos de clientes ni acceso administrativo.
Un ejemplo citado por el investigador Lukasz Olejnik muestra que Passwork LLC de Rusia anunció la versión 7.67.67.6 el 6 de abril de 2026, seguida por Passwork Europe, que anunció la misma versión al día siguiente.
OCCR también ha indicado que algunos clientes europeos, incluidos organismos gubernamentales, no estaban al tanto del producto ruso y sus certificaciones estatales, lo que ha llevado a algunas organizaciones a reevaluar su exposición.
