Cosa è successo?
Il fornitore di password manager Dashlane ha segnalato un incidente di sicurezza: alcuni criminali hanno eseguito attacchi brute-force contro determinati account utente. Secondo l'azienda, sono riusciti a copiare meno di 20 password vault di utenti con abbonamento "Personal". Gli account Business non sarebbero stati coinvolti. I dati sarebbero cifrati e, senza la master password, non accessibili, assicura il supporto Dashlane.
I dettagli
Secondo un post del supporto Dashlane, gli attacchi sono iniziati domenica 31 maggio 2026, contro determinati account non ulteriormente specificati. L'obiettivo degli aggressori era aggirare l'autenticazione a due fattori tramite brute-force, per registrare nuovi dispositivi su account utente esistenti.
Il meccanismo di registrazione del dispositivo richiede un codice 2FA a sei cifre, generato tramite app di autenticazione o inviato via e-mail. Se il codice è corretto, il nuovo dispositivo può scaricare il password vault. Proprio questo processo gli aggressori hanno tentato di violare tramite richieste massive.
Tuttavia, l'enorme quantità di richieste ha attivato i sistemi di sicurezza automatici di Dashlane, che hanno di conseguenza bloccato gli account interessati. Il team Dashlane ha ricevuto un avviso corrispondente e ha indagato sull'incidente. Come conseguenza, numerosi utenti hanno dovuto affrontare account temporaneamente bloccati – l'accesso è stato nel frattempo ripristinato, secondo il fornitore.
L'indagine è stata conclusa verso la fine della scorsa settimana. Dashlane afferma che gli utenti interessati sono già stati informati direttamente. Chi non ha ricevuto alcuna notifica non sarebbe stato coinvolto. L'indagine non ha rilevato ulteriori impatti sui sistemi Dashlane.
Analisi
Anche se gli aggressori fossero riusciti ad aggirare il meccanismo di registrazione del dispositivo e a scaricare un vault, questo rimarrebbe inaccessibile senza la master password, secondo Dashlane. L'azienda indica come combinazione di cifratura utilizzata Argon2, AES-256-CBC e HMAC-SHA256. Questa combinazione di metodi moderni dovrebbe garantire che i tentativi di accesso ai contenuti cifrati abbiano statisticamente scarsissime probabilità di successo – anche su periodi di tempo prolungati.
Che una cifratura robusta dei password vault sia indispensabile lo dimostra uno sguardo a precedenti incidenti nel settore: già alla fine del 2022 il servizio di password manager LastPass ha ammesso che soggetti non autorizzati erano penetrati nei suoi sistemi cloud e avevano ottenuto accesso ai dati dei clienti. All'epoca, i vault di password copiati dai backup contenevano URL non cifrati e nomi utente e password cifrati. Circa un anno dopo, gli aggressori sono apparentemente riusciti a violare i vault, svuotando così i portafogli di criptovalute delle vittime.
L'attuale incidente Dashlane dimostra quindi ancora una volta che i password vault archiviati centralmente restano un bersaglio attraente per gli aggressori – e che la qualità della cifratura impiegata determina quanto grave risulti effettivamente un accesso riuscito all'infrastruttura cloud.
Consigli pratici
- Gli utenti che non hanno ricevuto una notifica diretta da Dashlane non sarebbero, secondo il fornitore, coinvolti nell'incidente.
- Una master password forte e unica rimane la barriera di protezione centrale, poiché i vault senza di essa non sono accessibili, secondo Dashlane.
- L'utilizzo di un'app di autenticazione invece di codici 2FA basati su e-mail può in linea di principio ridurre la superficie d'attacco per i tentativi di brute-force sulle registrazioni dei dispositivi.
- Gli utenti interessati e tutti gli altri dovrebbero seguire attentamente le comunicazioni ufficiali del fornitore per rimanere informati sullo stato attuale.
Prospettive
Dashlane dichiara che l'indagine sull'incidente è conclusa e che non sono stati riscontrati ulteriori impatti sui propri sistemi. Gli account coinvolti sono stati nuovamente sbloccati. Come dimostra il caso LastPass, tuttavia, solo con un certo ritardo può emergere se dati copiati e cifrati possano poi effettivamente essere decifrati. Utenti e comunità tecnica dovranno quindi osservare se dall'incidente Dashlane emergeranno ulteriori conseguenze a lungo termine.
