2026年7月17日に公表された共同調査が、ひとつの奇妙な事実を突きつけました。「Made in EU 2017」のバッジを掲げるパスワードマネージャーが、実は2014年にロシアで生まれていたのです。その欧州版とロシア版のインストーラーには、517行の「基本的に同一」なコードが残っています。国境で切り分けたはずのソフトが、コードのレベルではつながったままだとしたら、あなたが預けた鍵束はどちらの側にあるのでしょうか。
「欧州製」を掲げる法人向けパスワードマネージャーPasswork（パスワーク）が、2014年にロシアで始まった製品と共通の起源を持つことが、OCCRP主導の共同調査（Investico、NU.nl、De Groene Amsterdammer、Le Monde、De Tijdなどが参加）で明らかになりました。
英語版の公式サイトでは、2017年設立のフィンランド企業を称し、本社をバルセロナへ移したと説明していましたが、登記上はフィンランド法人の清算手続きを経て、2024年にスペインで別法人Passwork Europe S.L.が設立された形です。
調査では、Gazprom NeftやTransneftなどがロシア版の利用組織として挙げられたほか、ロシア版サイトには制裁対象の軍需・航空宇宙関連企業が顧客として掲載されていました。ロシア版はFSTEC（連邦技術・輸出管理局）の製品認証を取得し、運営会社はFSBの暗号技術ライセンスを保有しています。欧州側では、アイルランドのOffice of Public WorksやState Laboratory、ブリュッセル首都圏のデジタル化を担う公共組織Paradigmなどで、一部部署・職員による利用が確認されました。Passwork EuropeのCEO兼単独株主であるアレクサンドル・ムンチャン氏は、欧州のサーバーを使用し、ロシア企業とシステムや顧客データを共有していないと述べています。ただし、この説明の全容が第三者監査によって確認されたわけではありません。
From: European Password Manager Shares Origins and Updates with State-Certified Russian Firm
【編集部解説】
パスワードマネージャーは、いわば「家じゅうの鍵をまとめて預ける金庫」です。だからこそ、この金庫を誰が作ったのか、そして誰が中身に手を伸ばせるのかという問いは、機能や価格の比較よりも先に問われるべき論点になります。今回のPassworkをめぐる調査は、その最も基本的な問いに、私たちがどれほど無自覚だったかを突きつけています。
まず、事実関係を正確に整理しておきます。
ロシア国防省や連邦保安庁（FSB）が「Passworkの利用者」だと読める記述が一部で流通していますが、本件の基幹となるOCCRPの共同調査や公開資料から確認できるのは、そことは異なる構図です。両機関が製品を使う顧客であることは、公開情報からは確認されていません。
公開資料でたどれるのは、ロシア版Passworkが取得したFSTEC（連邦技術・輸出管理局）の製品認証と、運営会社が保有するFSBの暗号技術ライセンスです。両者の役割は異なり、FSTECは製品のセキュリティ認証を担う側、FSBは暗号技術を扱う事業への許認可を出す側です。
専門家によれば、FSTECの認証規則は、脆弱性や未申告機能を検出するための詳細な試験を求めており、その審査対象にはソースコードを含む資料が入りうるとされます。ただし、Passworkが実際に何を提出し、ロシア国家がどの情報をどこまで取得したのかは確認されていません。一方、ロシア版サイトには、制裁対象のミサイル製造企業を含む軍需・航空宇宙関連組織が顧客として掲載されていました。
「政府機関が顧客として使っている」という構図ではなく、「ロシア側の製品と運営会社が国家の認証・許認可制度の中にある」——この違いが、リスクの性質を左右します。
なぜそれが欧州の利用者にとって問題になりうるのか。ここが今回の勘所です。
欧州版とロシア版は、共通の出自を持つコードベースから育ち、直近のアップデートも近接した日程で告知されてきたと報じられています。OCCRPが依頼したセキュリティ研究者は、両者のインストール用スクリプトのうち517行が「基本的に同一」だと指摘し、現時点でのEU側とロシア側の分離は「技術的に浅い」と評しました。
つまり、共通の起源が残る部分では、片方で見つかった弱点がもう片方にも当てはまりうるということです。もっとも、これは専門家が示した脅威シナリオであり、実際に共通の脆弱性が発見されたわけでも、ロシア当局が欧州版への具体的な攻撃手段を保有していると確認されたわけでもありません。可能性として警戒すべき、という位置づけです。
ここで思い出されるのが、2020年12月に発覚したSolarWinds事件です。攻撃者は利用組織を直接攻撃するのではなく、SolarWindsのソフトウェア開発・ビルド環境を侵害し、製品更新そのものに不正なコードを紛れ込ませました。そのコードは正規に署名された更新を通じて配信され、米財務省や司法省のメールシステムなどに侵入する足掛かりとなりました。
今回の調査で専門家が最も警戒しているのも、まさにこの更新の仕組みです。Passworkの更新は、ロシア人共同創業者が関与するUAE拠点の企業Passwork FZ-LLCから欧州側へ供給されていると報じられていますが、契約関係やビルド工程の全容は公開されていません。この配信パイプラインを最終的に誰が統制しているのかは、調査でも確定できていません。
編集部として、ひとつ強調しておきたい論点があります。それは、これを「ロシア対欧州」の話に矮小化しないことです。
本質は、ソフトウェアの「素性（プロベナンス）」が、機能や暗号強度と並ぶ独立したセキュリティ要件になったということだと私たちは考えます。
ムンチャン氏は、クライアント側暗号化が有効な環境では、暗号化と復号を利用者側のクライアントで行う「ゼロ知識アーキテクチャ」が実現されるため、保管されたパスワードの平文を事業者は原則読めないと説明しています。保管パスワードの平文をサーバー側で扱わないという設計には、技術的な根拠があります。
ただし、Passworkの公式技術資料によれば、クライアント側暗号化の有効・無効は導入形態や設定によって異なります。クラウド版では有効とされる一方、オンプレミス版では標準で無効となる構成があり、名前、ログイン名、URL、タグ、コメントなど、検索や管理に使われる一部のフィールドはクライアント側暗号化の対象外です。そのため、「事業者に渡せるデータが一切存在しない」と一般化することはできません。
しかし、金庫の設計が堅牢でも、金庫を更新する業者や更新経路を信頼できなければ意味がない——オランダ情報機関への助言組織に参加した元ソフトウェア開発者ベルト・フベルト（Bert Hubert）氏が述べた「ベンダーは信じないがソフトは信じる、という選択肢は存在しない」という言葉は、この点を鋭く言い当てています。
最後に、私たちが最も「未来的」だと感じた細部に触れておきます。
今回の調査で明らかになったのは、Passworkが生成AIに向けて自社をどう説明させるかを指示する文書を、サイト上に公開していたことです。そこには、同社が「米国・ロシアその他の非欧州の主体と一切関係がない」とする記述がありました。ところがOCCRPからの取材連絡が入った後、この記述は削除されました。
削除の理由や、それが生成AIの回答にどこまで影響したかは確認されていません。それでも、検索エンジンではなく生成AIが企業の素性を語る時代に、「AI向けの但し書き」そのものが、新たな情報操作の手段になりうる——これは、私たちアーリーアダプターがこれから向き合う、新しい情報環境の縁の話です。
念のため付け加えると、今回の調査は、欧州版に悪意あるコードが埋め込まれていた事実や、実際にデータが盗まれた形跡、Passworkやその経営陣による違法行為を確認したわけではありません。OCCRP自身が、その種の証拠は見つかっていないと明記しています。
指摘されているのは、あくまで共通の起源、近接した更新、UAE企業を介した供給、ロシア側の認証・許認可という「構造上のリスク」です。だからこそ私たちは、断定ではなく「問いの立て方」を共有したいと考えています。あなたが預けている鍵束は、どこで作られ、誰の手を経て更新されているでしょうか。
【関連記事】
Chrome/Edge拡張機能（ModHeader）に閲覧履歴の暗号化収集コード─約160万インストール、Googleが削除（内部）
無害だった道具が自動更新で監視ツールに変わりうるという、本記事と同じ構造的問題を扱う。
Grok Build CLI、リポジトリデータを外部送信｜通信解析で判明したデータ管理の問題（内部）
開発ツールが手元のデータを外部へ送る挙動を通信解析で検証した事例。素性と信頼を問う視点が重なる。
OpenAI、TanStack npmサプライチェーン攻撃で社員端末2台が侵害（内部）
正規の入手経路を経た更新に悪意あるコードが混入する、サプライチェーン攻撃の実例を伝える。
【編集部後記】
見過ごせないのは、Passworkが生成AIに向けて「非欧州の主体とは無関係」と説明させる文書をサイトに置き、問い合わせが届いた途端に消したという一点です。
人が読むFAQなら、書き換えれば魚拓や更新履歴で足がつきます。ところがAIに読ませる説明文は、削除された瞬間に「なかったこと」になりやすい。次にAIへ企業の素性を尋ねたとき、その答えは誰がいつ書き、いつ消したものなのか。出典をたどれない回答を、私たちはどこまで信じられるのでしょうか。
【用語解説】
パスワードマネージャー（パスワード保管サービス）
社員が業務用のIDやパスワードなどの認証情報（クレデンシャル）を暗号化して一元管理するソフトウェアだ。企業向けの製品では、部門ごとの権限管理やアクセス履歴の記録が重視される。まさに「組織のデジタルな鍵束」を預ける場所であり、それゆえ提供元への信頼が製品選定の前提になる。
FSTEC（連邦技術・輸出管理局）
ロシアの連邦行政機関で、大統領の指揮下に置かれ、組織上は国防省に従属する。ソフトウェアや情報システムのセキュリティ認証を担う側だ。認証規則では、製品の脆弱性や未申告機能を検出するための詳細な試験が求められるとされる。今回の公開資料ではPassworkの利用組織としてではなく、製品認証を行う機関として登場する。
FSB（連邦保安庁）
ソビエト連邦のKGBを源流とする、ロシアの主要な国内情報・防諜機関だ。今回のPasswork運営会社との関係は、製品のセキュリティ認証ではなく、暗号技術を扱う事業に対するライセンスの発行にあたる。FSTECの製品認証とは性質が異なる点に注意したい。
未申告機能（undeclared functionality）
FSTECの文書で用いられる概念で、仕様書に記載されていない機能全般を指す。いわゆるバックドアを含みうるが、両者は同義ではなく、より広い範囲を対象とする用語である。
ゼロ知識アーキテクチャ（zero-knowledge architecture）
クライアント側暗号化が有効な場合に、パスワードなどの機密項目を利用者のブラウザーやアプリで暗号化し、サーバー側がその平文を復号できないようにする設計思想だ。Passworkでは、導入形態や設定によってクライアント側暗号化の有効・無効が異なる。検索や管理に使われる一部の項目は、クライアント側暗号化の対象外となる。
サプライチェーン攻撃（ソフトウェア供給網への攻撃）
標的となる利用組織を直接攻撃するのではなく、導入されるソフトウェアの開発、ビルド、署名、更新供給などの過程を侵害し、不正なコードを正規製品や更新に紛れ込ませる攻撃手法だ。正規に署名された更新として配信されることがあり、利用者側での検知が難しい。SolarWinds事件がその代表例である。
OCCRP（組織犯罪・汚職報道プロジェクト）
組織犯罪や汚職を国境を越えて調査する、非営利の国際的な調査報道ネットワークだ。今回の共同調査を主導し、欧州各国の報道機関や記者と記事を公開した。
コードベース（codebase）
あるソフトウェアを構成するソースコードの総体を指す。欧州版とロシア版のPassworkが「共通のコードベースに由来する」とは、両者が同じ元コードから枝分かれして育ったことを意味する。ただし、現在の全コードや全脆弱性が共通であることまでを示すわけではない。
【参考リンク】
Passwork（公式サイト）（外部）
調査対象である法人向けパスワードマネージャーの英語版公式サイト。欧州発、ゼロ知識モデル、EU規制への準拠などを訴求している。暗号化の適用範囲や設定条件については、同社の技術資料も併せて確認する必要がある。
OCCRP — 調査記事原文（外部）
本件の基幹となる共同調査記事。ロシアでの起源、欧州法人の沿革、UAE企業を介した更新供給、517行の類似コード、公共機関での利用、専門家の見解などを詳報する。
Clingendael Institute（外部）
1983年設立のオランダの国際関係シンクタンク。専門家ファン・デン・ベルフ氏が本件のリスクに見解を寄せている。
【参考記事】
European Password Manager Shares Origins and Updates with State-Certified Russian Firm（OCCRP）（外部）
本件の基幹となる共同調査記事。ロシアでの起源、UAE企業を介した更新、517行の類似コード、認証・許認可の構図など、記事中の数値と経緯の主要な根拠を示す。
Dutch businesses at risk due to popular password manager with Russian ties（NL Times）（外部）
オランダ側から共同調査の内容を整理した報道。国家認証制度を通じて製品の詳細が把握されうるとの専門家の懸念や、オランダ国内での利用状況を紹介している。
Dutch firms used password manager with hidden Russian roots（DutchNews.nl）（外部）
ロシアでの起源と国家機関との関係を簡潔にまとめた記事。ただし、本文は「FSBによる認証」と表現しており、公開資料上の正確な区別はFSTECによる製品認証とFSBによる暗号技術ライセンスである。
Passwork: Russian FSB-Licensed Password Manager in EU Government（StateWatch）（外部）
共同調査の参加者による詳報。ドメイン登録情報、UAE企業との関係、ブリュッセルのParadigmにおける利用状況などを詳しく紹介している。
“Made in Europe” password manager Passwork turns out to be Russian（Cybernews）（外部）
共同調査の概要を紹介する記事。ただし、ロシア国防省やFSBをPassworkの利用者と読める表現が含まれており、FSTECの製品認証とFSBの暗号技術ライセンスを区別して読む必要がある。
