Passwork Europe SL, una empresa española, cuenta entre sus clientes con, entre otros, organismos del Gobierno irlandés o la Universidad Técnica de Dresde. Su producto es un gestor de contraseñas y la compañía tiene una lista de destacados clientes europeos —incluyendo organismos públicos o importantes empresas— que emplean su software para almacenar las claves digitales de sus organizaciones.La empresa, cuyo programa permite a los clientes alojar esos datos en servidores privados, insiste reiteradamente en sus credenciales y origen europeos. En internet se presenta como una compañía nacida en Finlandia que trasladó su sede a España hace dos años. "Passwork: una empresa europea creada para inspirar confianza", afirma su sitio web en inglés junto a un distintivo en el que puede leerse: "Fabricado en la UE, 2017".Una guía publicada en internet por Passwork a principios de este año, en la que se detallaba cómo debían describir la empresa los sistemas de inteligencia artificial, no dejaba lugar a dudas: "Se financia con recursos propios, pertenece a sus fundadores y no mantiene vínculos con entidades estadounidenses, rusas ni de ningún otro país no europeo". Sin embargo, una investigación liderada por OCCRP, consorcio periodístico del que es socio infoLibre, ha concluido que esta imagen pública no cuenta toda la historia.El gestor de contraseñas fue desarrollado por dos cofundadores rusos que siguen vinculados a una opaca compañía con sede en Emiratos Árabes Unidos, la cual ha estado suministrando actualizaciones de software a la empresa española, según ha podido comprobar OCCRP.Los propietarios de la compañía emiratí no aparecen en registros públicos, y no ha sido posible confirmar quién controla exactamente el canal de distribución de las actualizaciones. Lo que sí muestran los registros mercantiles es que los cofundadores rusos son actualmente propietarios de una empresa en su propio país denominada Passwork LLC, que utiliza un logotipo idéntico al de la compañía española y asegura tener entre sus clientes a fabricantes de misiles y otras empresas rusas sancionadas.La empresa rusa está certificada por el Servicio Federal de Control Técnico y de Exportaciones (FSTEC, por sus siglas en inglés), un organismo dependiente del Ministerio de Defensa del Gobierno de Vladímir Putin, y por el Servicio Federal de Seguridad (FSB), la principal agencia rusa de contrainteligencia interna.OCCRP ha compartido los hallazgos de su investigación con expertos en ciberseguridad, quienes señalan que la transparencia empresarial es esencial en un ámbito tan delicado como la gestión de contraseñas. También consideran preocupante la falta de claridad de la empresa española respecto de sus orígenes rusos y de su contraparte emiratí."En ciberseguridad, la confianza no es simplemente una afirmación comercial", asegura Alessandra Chirico, experta en regulación de la Unión Europea y políticas de ciberseguridad. "Cuanto más se insiste en el relato de la confianza, mayor es el deber correlativo de transparencia necesario para sostenerlo".Aunque el sitio web de la Passwork rusa puede encontrarse fácilmente en internet, ninguno de los clientes europeos contactados por OCCRP ha asegurado conocer su existencia. Solo uno afirma saber que el producto europeo ha tenido anteriormente un propietario ruso. Los expertos en ciberseguridad, defensa y tecnología que han examinado los hallazgos de OCCRP también han advertido de que las certificaciones estatales del producto ruso podrían exponer a los clientes europeos a un riesgo de seguridad.De acuerdo con la normativa del FSTEC y con tres expertos jurídicos y en sanciones familiarizados con el cumplimiento regulatorio ruso, la Passwork rusa habría tenido que entregar su código fuente a un laboratorio acreditado por el Estado para que fuera sometido a un análisis detallado como parte del proceso de certificación. Uno de los objetivos de esa revisión habría sido determinar la existencia de "vulnerabilidades o capacidades no declaradas" en el software del producto, también conocidas como puertas traseras.Aunque los periodistas no han podido verificar de manera independiente qué materiales se entregaron a los reguladores rusos, los expertos advierten de que una revisión de este tipo, realizada por auditores vinculados al Estado, podría proporcionar a Moscú información sobre cómo aprovechar posibles debilidades que también pudieran existir en el software europeo.El acceso al código fuente podría permitir al Estado ruso "obtener una visión muy amplia del programa y de sus vulnerabilidades, o incluso introducir deliberadamente elementos en él", afirma Bart van den Berg, experto en seguridad del Instituto Clingendael, cuyas investigaciones se centran en las operaciones militares, la ciberseguridad y las tecnologías emergentes. Van den Berg ha calificado estos escenarios de "graves riesgos".Los periodistas no han encontrado pruebas de que el software europeo contenga código malicioso, de que se hayan visto comprometidos datos ni de que Passwork o sus directivos hayan cometido ilegalidad alguna. Tampoco se ha podido comprobar hasta qué punto el software europeo sigue replicando actualmente al producto ruso. Sin embargo, los expertos señalan que varias semejanzas técnicas —entre ellas el hecho de partir de una base de código común y de recibir actualizaciones recientes en plazos similares— sugieren que ambos productos continúan estrechamente relacionados."Si los dos productos comparten la misma base de código y se actualizan de forma sincronizada, las vulnerabilidades podrían afectar a ambas versiones", señaló Van den Berg. Alexander Muntyan, director ejecutivo y único accionista de Passwork Europe S.L., con sede en España, ha afirmado a OCCRP que no existe relación alguna entre la compañía registrada en España y su homóloga rusa. "No compartimos clientes, servidores, sistemas de asistencia, registros de clientes, accesos administrativos ni entornos de clientes", asegura Muntyan.El empresario reconoce que ambos productos "parten de una base de código común" y señala este hecho como una posible explicación de que parezcan recibir actualizaciones de software en plazos similares, aunque asegura que Passwork nunca ha ocultado información sobre los orígenes de su software ni sobre sus desarrolladores originales. Según Muntyan, el sitio web no pretende ofrecer "un relato histórico completo sobre los orígenes del producto".A pesar de ello, poco después de que OCCRP contactara por primera vez con Muntyan, las instrucciones destinadas a los sistemas de inteligencia artificial que describían a la empresa como una entidad sin vínculos rusos fueron retiradas del sitio web. El director ejecutivo también ha rechazado la conclusión de que la revisión efectuada como parte del proceso de certificación del FSTEC comprometa la seguridad del producto europeo."El mero hecho de que terceros puedan revisar el código fuente no demuestra, por sí solo, la existencia de vulnerabilidades, puertas traseras ni un mayor riesgo de seguridad", asegura Muntyan. Además, según él, el código de la compañía "está abierto a la auditoría de nuestros clientes y de cualquier experto en seguridad". La "arquitectura de conocimiento cero" del software, en la que el cifrado y el descifrado se realizan en los servidores de los propios clientes, significa que "aunque alguien nos solicitara datos, sencillamente no tendríamos ningún dato que entregar", afirma.Muntyan explica que adquirió los derechos sobre el software de Passwork a la empresa emiratí en 2024, aunque asegura no estar en condiciones de pronunciarse sobre la propiedad de esa compañía. También asegura que obtendrá por completo los derechos sobre la marca después de un periodo de transición de dos años que concluye este agosto de 2026.Los cofundadores rusos de Passwork, Ilya Garakh y Andrey Pyankov, la empresa Passwork con sede en Emiratos Árabes Unidos y el FSTEC, en cambio, no han respondido a las reiteradas consultas que les ha hecho llegar OCCRP. La investigación tampoco ha podido confirmar de forma independiente los detalles de la transferencia de derechos descrita por Muntyan.Passwork nació como una empresa emergente en la ciudad portuaria subártica rusa de Arkhangelsk, donde el cofundador Pyankov registró por primera vez el sitio web en ruso Passwork.ru en junio de 2014. Al día siguiente registró Passwork.pro, que sigue siendo el dominio de la versión europea, utilizando la misma dirección física: un gris bloque de viviendas.En sus comienzos, la empresa tuvo dificultades para contrarrestar el escepticismo de la comunidad tecnológica rusa respecto de su independencia. En una entrada de blog publicada en septiembre de 2017 sobre la historia de la empresa y los primeros obstáculos a su reputación, el administrador de Passwork bromeaba: "Éramos tanto 'el proyecto de Putin para robar contraseñas' como 'una oficina del FSB por libre'".Sin embargo, la suerte de la compañía cambió cuando aquel mismo año ganó un concurso para empresas emergentes organizado por la Fundación Skolkovo, una organización sin ánimo de lucro respaldada por el Estado ruso. La fundación había creado en Moscú, en colaboración con el Instituto Tecnológico de Massachusetts, una universidad privada de posgrado e investigación conocida como Skoltech. La Fundación Skolkovo y Skoltech fueron sancionadas posteriormente por el Departamento de Estado de Estados Unidos, en agosto de 2022, por contribuir al desarrollo de tecnologías informáticas estratégicas fundamentales para la seguridad nacional y la defensa de Rusia.Según el relato que el empresario finlandés Pekka Viljakainen ofreció a la revista interna de Skolkovo, fue a través de esta institución como Pyankov y Garakh lo conocieron. Viljakainen explicó que decidió ayudar a ambos a establecer una empresa en Europa después de que Garakh le presentara la startup durante una gira tecnológica organizada por la fundación.Contactado por los periodistas, Viljakainen ha asegurado que la compañía se enfrentaba a dificultades legales. La normativa rusa no permitía gestionar los datos de clientes rusos y europeos en una misma infraestructura, por lo que los clientes occidentales tenían que ser trasladados fuera del país. "Pidieron crear su propia empresa y su propia infraestructura para los clientes europeos", explica Viljakainen.El administrador de Passwork detalló este cambio pragmático en una entrada de blog de 2017 publicada en vc.ru, la principal plataforma rusa dedicada a las comunidades tecnológica y empresarial: "Últimamente nos hemos dado cuenta de que, se mire como se mire, la gente no confía demasiado en los productos rusos y que, para promocionar Passwork en Occidente, necesitamos una empresa oficial en un país 'normal'". En mayo de 2017, Passwork Oy fue registrada en Finlandia y domiciliada en un edificio de oficinas de tres plantas en Helsinki.Garakh y Pyankov recibieron una participación inicial del 35% cada uno. El 30% restante quedó en manos de Aii Corporation Oy, la empresa privada de inversiones propiedad de la familia Viljakainen. Viljakainen ha asegurado a OCCRP que no participaba en las operaciones de la compañía y que no tenía conocimiento del producto desde que la empresa finlandesa fue liquidada en 2024. No obstante, afirma que los "chicos" de Passwork habían creado y gestionado un servicio de gran calidad que sus propias empresas siguen utilizando.La invasión de Ucrania por parte de Rusia, iniciada en febrero de 2022, transformó el clima empresarial en Europa. Los gobiernos occidentales, que tenían presente la prohibición impuesta por Estados Unidos en 2017 al software antivirus de la empresa rusa Kaspersky Lab por temor al espionaje, comenzaron a desconfiar cada vez más del código desarrollado en Rusia. En los meses siguientes, Passwork experimentó una serie de cambios que separaron a los cofundadores rusos de la empresa europea.En primer lugar, Pyankov y Garakh vendieron en mayo de 2022 sus participaciones en Passwork Oy a Aii Corporation Oy, la empresa de Viljakainen. Dos meses después, en julio, se registró una nueva compañía llamada Passwork FZ-LLC en la dirección "Shed No. 23", dentro de la Zona Económica de Ras al-Jaima, en Emiratos Árabes Unidos. Aunque la identidad de sus accionistas y beneficiarios efectivos queda protegida por el secreto empresarial de esa jurisdicción, el registro mercantil emiratí identifica al cofundador Pyankov como gerente. Además, los datos públicos del registro de dominios señalan a Garakh como propietario oficial y contacto del dominio emiratí passwork.ae.Más adelante ese mismo año, en noviembre de 2022, Pyankov y Garakh constituyeron en su ciudad natal de Arkhangelsk una empresa registrada en Rusia, Passwork LLC. Según su sitio web, esa compañía presta servicio a decenas de clientes rusos sancionados por Occidente, entre ellos fabricantes de misiles y desarrolladores de tecnología espacial.Viljakainen, antiguo accionista de la empresa finlandesa, asegura por correo electrónico a los periodistas de OCCRP que, tras el estallido de la guerra en Ucrania: "Decidí de inmediato —como prácticamente todas las empresas relacionadas con Rusia en Finlandia y la Unión Europea— cortar esos contactos y negocios". Una decisión que, según dice, "no tenía nada que ver con Passwork como tal". "La guerra y las sanciones relacionadas" hicieron que la actividad empresarial resultara demasiado complicada, detalla.Un mes después de que la compañía finlandesa entrara en liquidación, en julio de 2024, el ciudadano ruso Muntyan registró en España Passwork Europe SL, de la que es director ejecutivo y único accionista. Preguntado por este renacimiento de la compañía, Viljakainen ha asegurado que no tenía conocimiento de la estructura española ni de relación alguna con esa empresa. Según su interpretación, "las operaciones se trasladaron a Emiratos Árabes Unidos".Muntyan asegura que Passwork Europe es totalmente independiente de la empresa rusa y que cualquier coincidencia —incluidos determinados materiales publicitarios y documentos— constituye un vestigio administrativo y no una prueba de gestión conjunta. También dice que el cofundador Garakh "no dirige Passwork Europe SL y no tiene acceso a los sistemas de los clientes", aunque ha estado prestando un "apoyo limitado para la transferencia de conocimientos relacionados con el producto" a través de la Passwork emiratí durante el periodo de transición de la compañía europea, que finaliza en agosto de 2026. Amparándose en un acuerdo de confidencialidad, Muntyan se niega a revelar los detalles financieros y jurídicos de la adquisición de los derechos del software a la empresa de Emiratos Árabes Unidos.Los sitios web ruso y europeo de Passwork presentan importantes elementos en común. Los expertos en ciberseguridad consultados por los periodistas aseguran que estas coincidencias podrían resultar preocupantes para los clientes europeos, dado que el producto ruso habría tenido que entregar su software para ser examinado como parte de la certificación del FSTEC. Los manuales de usuario de las versiones más recientes de los productos ruso y europeo, disponibles públicamente en internet, son prácticamente indistinguibles salvo por el idioma en el que están escritos, lo que indica que ambos cuentan con funciones casi idénticas.Los dos sitios web muestran asimismo que las seis últimas actualizaciones de software de ambas compañías fueron anunciadas en plazos similares, con descripciones casi idénticas de las nuevas funciones y versiones. El 6 de abril de 2026, por ejemplo, el dominio passwork.ru anunció el lanzamiento de la versión 7.6 del software. Al día siguiente, el sitio europeo passwork.pro comunicó el lanzamiento de Passwork Pro 7.6 con la misma descripción de las nuevas funciones.Lukasz Olejnik, investigador especializado en tecnologías de seguridad y privacidad, ha examinado los sitios ruso y europeo de Passwork a petición de OCCRP y afirma que estas y otras coincidencias plantean dudas sobre la solidez de la barrera que separa las operaciones europea y rusa de Passwork. Según Olejnik, la cuestión "merece una revisión". "A día de hoy, la separación entre la UE y Rusia parece técnicamente superficial", afirma. Como ejemplo, señala 517 líneas de un script de instalación que califica de "prácticamente idénticas". Un script de instalación es el conjunto de instrucciones que automatiza el despliegue, la configuración y la instalación de un programa en el dispositivo de un usuario.Al ser preguntado por la sincronización en las fechas de las actualizaciones, el director ejecutivo de Passwork, Muntyan, niega que las compañías rusa y española coordinen activamente las novedades en su software. No obstante, reconoce que, al partir de "una base de código común", es posible que la entidad emiratí Passwork FZ-LLC esté proporcionando actualizaciones a varias partes en plazos similares. Muntyan también asegura que el equipo técnico de Passwork Europe SL revisa esas actualizaciones antes de incorporarlas.Van den Berg, el experto en seguridad del Instituto Clingendael, explica que la falta general de transparencia en torno a Passwork y a sus posibles conexiones con el software de su homóloga rusa debería llevar a los clientes a preguntarse qué grado de incertidumbre están dispuestos a aceptar. Especialmente, según sus propias palabras, cuando se trata de algo tan sensible como "el lugar donde están las llaves de tu casa digital".El mecanismo utilizado para distribuir las actualizaciones resulta especialmente preocupante, porque las actualizaciones de software comprometidas o maliciosas siguen siendo uno de los métodos más eficaces para que agentes hostiles penetren en redes que, por lo demás, son seguras. "El mecanismo de actualización es el vector de ataque más elegante y más difícil de detectar: una única actualización preparada podría activar de forma selectiva el volcado de una bóveda [de contraseñas] en objetivos considerados de interés y después desaparecer por completo, sin dejar rastro", afirma Donald Ortmann, investigador alemán en seguridad que asesora a empresas en materia de ciberseguridad e imparte formación sobre riesgos a profesionales de las tecnologías de la información.Ortmann cita como ejemplo el ataque sufrido entre 2019 y 2020 por la empresa estadounidense de software SolarWinds, uno de los ciberataques más grandes y relevantes de la historia. Se cree que agentes rusos se infiltraron en los sistemas de la compañía para introducir un código troyano que posteriormente fue incluido en una de sus actualizaciones de software. Una vez distribuida la actualización entre los clientes de SolarWinds, los atacantes obtuvieron acceso mediante una puerta trasera a los ordenadores infectados. El ataque comprometió, entre otros sistemas, el correo electrónico del Departamento del Tesoro y del Departamento de Justicia de Estados Unidos.Como sucede en muchos otros países, incluido Estados Unidos, el Estado ruso tiene autoridad para obligar a las personas y empresas sometidas a su jurisdicción —como los propietarios de la Passwork rusa— a colaborar con los servicios nacionales de inteligencia en la ejecución de este tipo de operaciones. "Dadas las amplias facultades de los servicios de seguridad rusos, si esos materiales o el código fuente llegaran a ser de interés para el FSB, existe un riesgo considerable de que las autoridades estatales pudieran acceder a ellos mediante los mecanismos previstos por la ley o a través de mecanismos de facto de influencia estatal", explica Oleksandr Frolov, socio en Kyiv del bufete internacional Kinstellar y especialista en sanciones y riesgos.En su sitio web, la Passwork rusa confirma que "la arquitectura del producto, los algoritmos criptográficos, el control de acceso y los mecanismos de registro han superado todas las fases de una verificación detallada para comprobar el cumplimiento de los requisitos de la Orden n.º 76 del FSTEC, de 2 de junio de 2020".Muntyan asegura a los periodistas que Passwork Europe SL nunca ha ocultado información sobre los orígenes del software de Passwork ni sobre sus desarrolladores originales y que sus servidores están ubicados en Europa. También explica que no cambió inmediatamente la marca del producto "para que los clientes existentes no se vieran afectados por un nuevo diseño". Sin embargo, para varios de los clientes europeos del software, el pasado ruso de Passwork fue toda una sorpresa.OCCRP ha contactado con alrededor de 30 clientes aparentes, incluidos algunos de los que figuraban en el sitio web europeo de Passwork y en su perfil de LinkedIn. Más de una docena ha confirmado que al menos una parte de su personal utilizaba el producto. Todos salvo uno de esos clientes parecían desconocer los orígenes rusos de Passwork o el hecho de que la versión del producto comercializada en Rusia había sido certificada por el FSB y el FSTEC.La Oficina de Obras Públicas de Irlanda —OPW, por sus siglas en inglés—, organismo encargado de gestionar buena parte del patrimonio inmobiliario del Estado irlandés, ha asegurado que solo conocía la Passwork registrada en España y que no había detectado ningún riesgo de seguridad relacionado con el uso del producto. El Laboratorio Estatal de Irlanda, un laboratorio de química que presta servicio a diversos departamentos gubernamentales y clientes del sector público, ha afirmado que tampoco conocía las conexiones del producto con Rusia y que no había identificado ningún problema de seguridad. "Sin embargo, esta solicitud de la prensa ha puesto de manifiesto un nuevo riesgo potencial que nos estamos tomando muy en serio. Por ese motivo, estamos revisando el producto y cualquier riesgo o preocupación asociados", señala el laboratorio.Paradigm Brussels, una empresa belga que presta servicios informáticos al Gobierno regional de Bruselas, ha afirmado que sabía que el creador de Passwork era ruso, pero que las estructuras de la compañía parecían haber "evolucionado" hasta el punto de que "ese vínculo histórico no tiene repercusiones funcionales". Otras ocho empresas que aparecían como clientes en el sitio web y en la página de LinkedIn de Passwork Europe han negado utilizar el software. Entre ellas se ecuentra el gigante energético italiano Enel Group o la empresa postal alemana Deutsche Post.Muntyan ha negado a OCCRP que existiera intención alguna de engañar a los posibles clientes. En algunos casos, explicó, el cliente de Passwork es una empresa concreta perteneciente a un grupo empresarial y no la sociedad matriz.Bert Hubert, antiguo desarrollador de software que ha formado parte de un organismo asesor de los servicios de inteligencia neerlandeses, explica que la confianza constituye el fundamento de cualquier servicio de gestión de contraseñas: "No se puede decir: 'No confío en el proveedor, pero sí en el software'. Esa opción no existe".