Co się stało?
Dostawca menedżera haseł Dashlane poinformował o incydencie bezpieczeństwa: cyberprzestępcy przeprowadzili ataki metodą brute-force na wybrane konta użytkowników. Według firmy udało im się skopiować mniej niż 20 sejfów haseł należących do użytkowników z abonamentem „Personal”. Konta biznesowe nie zostały dotknięte incydentem. Dane są zaszyfrowane i niedostępne bez hasła głównego – zapewnia wsparcie techniczne Dashlane.
Szczegóły
Według wpisu na stronie wsparcia Dashlane ataki rozpoczęły się w niedzielę, 31 maja 2026 roku, i były wymierzone w określone, bliżej nieokreślone konta. Celem napastników było obejście uwierzytelniania dwuskładnikowego (2FA) metodą brute-force, aby zarejestrować nowe urządzenia w istniejących kontach użytkowników.
Mechanizm rejestracji urządzenia wymaga podania sześciocyfrowego kodu 2FA, generowanego przez aplikację uwierzytelniającą lub wysyłanego e-mailem. Po poprawnym wprowadzeniu kodu nowe urządzenie może pobrać sejf haseł. Właśnie ten proces napastnicy próbowali złamać, wysyłając masowe zapytania.
Jednak sama ilość zapytań uruchomiła automatyczne systemy bezpieczeństwa Dashlane, które w rezultacie zablokowały dotknięte konta. Zespół Dashlane otrzymał odpowiednie ostrzeżenie i zbadał incydent. W konsekwencji wielu użytkowników zmagało się z tymczasowo zablokowanymi kontami – dostęp, jak podaje dostawca, został od tamtej pory przywrócony.
Dochodzenie zakończono pod koniec ubiegłego tygodnia. Dashlane wyjaśnia, że osoby dotknięte incydentem zostały już bezpośrednio poinformowane. Ci, którzy nie otrzymali powiadomienia, nie są zatem dotknięci sprawą. Dochodzenie nie wykazało dalszych skutków dla systemów Dashlane.
Ocena sytuacji
Nawet jeśli napastnikom udało się skutecznie obejść mechanizm rejestracji urządzenia i pobrać sejf, pozostaje on – według Dashlane – niedostępny bez hasła głównego. Firma podaje, że stosowana kombinacja szyfrowania to Argon2, AES-256-CBC oraz HMAC-SHA256. Ta kombinacja nowoczesnych metod ma zapewnić, że próby dostępu do zaszyfrowanej zawartości mają statystycznie znikome szanse powodzenia – nawet w dłuższej perspektywie czasowej.
To, jak niezbędne jest solidne szyfrowanie sejfów haseł, pokazuje spojrzenie na wcześniejsze incydenty w branży: już pod koniec 2022 roku dostawca menedżera haseł LastPass przyznał, że osoby nieuprawnione włamały się do jego systemów chmurowych i uzyskały dostęp do danych klientów. Wówczas sejfy haseł skopiowane z kopii zapasowych zawierały niezaszyfrowane adresy URL oraz zaszyfrowane nazwy użytkowników i hasła. Około rok później napastnikom najwyraźniej udało się złamać zabezpieczenia sejfów i w ten sposób opróżnić portfele kryptowalut poszkodowanych.
Obecny incydent z Dashlane po raz kolejny pokazuje, że centralnie przechowywane sejfy haseł pozostają atrakcyjnym celem dla napastników – a jakość zastosowanego szyfrowania decyduje o tym, jak poważne skutki może faktycznie mieć udany dostęp do infrastruktury chmurowej.
Praktyczne wskazówki
- Użytkownicy, którzy nie otrzymali bezpośredniego powiadomienia od Dashlane, według dostawcy nie są dotknięci incydentem.
- Silne, unikalne hasło główne pozostaje kluczową barierą ochronną, ponieważ bez niego sejfy są – zgodnie z zapewnieniami Dashlane – niedostępne.
- Korzystanie z aplikacji uwierzytelniającej zamiast kodów 2FA opartych na e-mailu może zasadniczo zmniejszyć powierzchnię ataku dla prób brute-force wymierzonych w rejestrację urządzeń.
- Osoby dotknięte incydentem, jak i wszyscy użytkownicy, powinni uważnie śledzić oficjalne komunikaty dostawcy, aby być na bieżąco z aktualnym stanem sprawy.
Perspektywy
Dashlane oświadcza, że dochodzenie w sprawie incydentu zostało zakończone, a dalszych skutków dla własnych systemów nie stwierdzono. Dotknięte konta zostały ponownie odblokowane. Jak pokazuje przypadek LastPass, dopiero z pewnym opóźnieniem może się okazać, czy skopiowane, zaszyfrowane dane da się jednak później odszyfrować. Użytkownicy i środowisko branżowe będą więc musieli obserwować, czy incydent z Dashlane pociągnie za sobą dalsze, długofalowe konsekwencje.
