Компания сообщила на своем веб-сайте, что хакеры осуществили атаку методом перебора (brute-force) на систему двухфакторной аутентификации компании, получив доступ примерно к 20 учетным записям клиентов. Обошли двухфакторный механизм, хакеры смогли загрузить копии зашифрованных хранилищ данных некоторых клиентов, где хранятся их пароли и другие конфиденциальные учетные данные.
Dashlane заявила на странице инцидента, что нет свидетельств компрометации ее собственных систем, однако пока не объяснила, как именно хакерам удалось обойти двухфакторную защиту для доступа к учетным записям клиентов. Двухфакторная аутентификация — это функция безопасности, которая защищает учетные записи от доступа только по украденным логину и паролю, обычно требуя дополнительный код, отправляемый на телефон владельца аккаунта.
«Целью атаки был подбор (brute-force) защитных механизмов двухфакторной аутентификации (2FA), чтобы злоумышленник мог зарегистрировать новые устройства в существующих учетных записях пользователей», — говорится в сообщении Dashlane. Компания отметила, что злоумышленники могут использовать автоматизированное программное обеспечение для «быстрой отправки всех возможных числовых комбинаций в систему в надежде угадать точную последовательность до истечения срока действия [двухфакторного] кода безопасности».
Компания сообщила, что «приняла меры для снижения риска будущих инцидентов», не уточнив, какие именно.
Dashlane заявила, что уведомила около 20 клиентов, чьи зашифрованные хранилища были украдены. Пока неясно, были ли конкретные клиенты выбраны по какой-либо причине, например, из-за их личности или рода занятий.
Представители Dashlane не ответили на запрос о комментариях. Компания не сообщила, знают ли они, кто атаковал их клиентов, или обращались ли хакеры к Dashlane с требованиями, например, о выкупе.
Украденные хранилища зашифрованы и не могут быть прочитаны без мастер-пароля клиента, который известен только клиенту и не загружается в Dashlane в открытом виде, говорится на веб-сайте компании. Однако Dashlane предупредила, что клиенты с легко угадываемым мастер-паролем могут подвергаться большему риску того, что он будет угадан, и их хранилища паролей расшифрованы.
Утечки данных, затрагивающие компании, управляющие паролями, случаются редко, но могут иметь долгосрочные последствия.
В 2022 году LastPass подтвердила, что резервные копии хранилищ паролей клиентов были украдены в результате кибератаки. Хотя хранилища были защищены паролями, известными только клиенту, требования к паролям для ранних клиентов были намного слабее, чем более поздний стандарт, что позволило хакерам методом перебора легко угадать пароли к хранилищам некоторых клиентов. Появилось несколько сообщений о том, что хакеры похитили огромное количество криптовалюты клиентов, вероятно, используя закрытые ключи, хранящиеся в украденных хранилищах LastPass, мастер-пароли к которым были взломаны после утечки.
Годом ранее австралийская софтверная компания Click Studios предупредила всех своих клиентов, использующих ее флагманский менеджер паролей Passwordstate, «сбросить все учетные данные» после того, как хакеры скомпрометировали механизм обновления ее программного обеспечения для внедрения вредоносного ПО в системы клиентов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Zack Whittaker
