¿Qué ha ocurrido?
El proveedor de gestores de contraseñas Dashlane ha reportado un incidente de seguridad: ciberdelincuentes llevaron a cabo ataques de fuerza bruta contra determinadas cuentas de usuario. Según la empresa, lograron copiar menos de 20 bóvedas de contraseñas de usuarios con una suscripción "Personal". Las cuentas empresariales no se vieron afectadas, según indican. El soporte de Dashlane asegura que los datos están cifrados y no son accesibles sin la contraseña maestra.
Los detalles
Según una publicación del soporte de Dashlane, los ataques comenzaron el domingo 31 de mayo de 2026 contra determinadas cuentas, no especificadas con mayor detalle. El objetivo de los atacantes era eludir la autenticación de dos factores mediante fuerza bruta para registrar nuevos dispositivos en cuentas de usuario existentes.
El mecanismo de registro de dispositivos solicita un código de 2FA de seis dígitos, que se genera mediante una aplicación de autenticación o se envía por correo electrónico. Si el código es correcto, el nuevo dispositivo puede descargar la bóveda de contraseñas. Precisamente este proceso fue el que los atacantes intentaron vulnerar mediante solicitudes masivas.
Sin embargo, el enorme volumen de solicitudes activó los sistemas de seguridad automáticos de Dashlane, que bloquearon las cuentas afectadas. El equipo de Dashlane recibió la correspondiente alerta e investigó el incidente. Como consecuencia, numerosos usuarios tuvieron que lidiar con cuentas bloqueadas temporalmente; el acceso, según el proveedor, ya ha sido restablecido.
La investigación se concluyó hacia finales de la semana pasada. Dashlane explica que los afectados ya han sido informados directamente. Quien no haya recibido ninguna notificación, según la empresa, no se ha visto afectado. La investigación no reveló más repercusiones sobre los sistemas de Dashlane.
Análisis
Incluso si los atacantes lograran eludir con éxito el mecanismo de registro de dispositivos y descargar una bóveda, esta permanece, según Dashlane, inaccesible sin la contraseña maestra. La empresa indica que utiliza una combinación de cifrado compuesta por Argon2, AES-256-CBC y HMAC-SHA256. Esta combinación de métodos modernos debería garantizar que los intentos de acceso a los contenidos cifrados tengan estadísticamente muy pocas probabilidades de éxito, incluso durante períodos prolongados.
Que un cifrado robusto de las bóvedas de contraseñas es indispensable queda demostrado al observar incidentes previos en el sector: a finales de 2022, el servicio de gestión de contraseñas LastPass reconoció que personas no autorizadas habían accedido a sus sistemas en la nube y habían obtenido acceso a datos de clientes. En aquel entonces, las bóvedas de contraseñas copiadas a partir de copias de seguridad contenían URLs sin cifrar, así como nombres de usuario y contraseñas cifrados. Aproximadamente un año después, los atacantes aparentemente lograron descifrar las bóvedas y con ello vaciar las carteras de criptomonedas de los afectados.
El actual incidente de Dashlane demuestra una vez más que las bóvedas de contraseñas almacenadas de forma centralizada siguen siendo un objetivo atractivo para los atacantes, y que la calidad del cifrado empleado es determinante para saber cuán grave resulta realmente un acceso exitoso a la infraestructura en la nube.
Consejos prácticos
- Los usuarios que no hayan recibido una notificación directa de Dashlane no se han visto afectados por el incidente, según el proveedor.
- Una contraseña maestra fuerte y única sigue siendo la barrera de protección central, ya que sin ella las bóvedas no son accesibles, según Dashlane.
- El uso de una aplicación autenticadora en lugar de códigos 2FA basados en correo electrónico puede, en principio, reducir la superficie de ataque frente a intentos de fuerza bruta en los registros de dispositivos.
- Tanto los afectados como todos los usuarios deberían seguir de cerca las comunicaciones oficiales del proveedor para mantenerse informados sobre el estado actual de la situación.
Perspectivas
Dashlane afirma que la investigación del incidente ha concluido y que no se han detectado más repercusiones en sus propios sistemas. Las cuentas afectadas han vuelto a ser habilitadas. Sin embargo, como demuestra el caso de LastPass, a veces solo con cierto retraso se descubre si los datos cifrados copiados pueden llegar a descifrarse posteriormente. Por ello, tanto los usuarios como la comunidad especializada tendrán que observar si el incidente de Dashlane genera consecuencias adicionales a largo plazo.
