Dashlane раскрыла детали атаки: злоумышленники скачали менее 20 зашифрованных хранилищ паролей

Менеджер паролей Dashlane раскрыл подробности кибератаки, которая началась в воскресенье: неизвестные злоумышленники провели массированную кампанию против большой базы пользователей сервиса. До того как атаку удалось остановить, атакующие успели зарегистрировать новые устройства на менее чем 20 аккаунтах и скачать копии зашифрованных хранилищ. Компания связалась со всеми пострадавшими — те, кто не получил уведомления, инцидент не затронул.

Как работала атака: математика на стороне злоумышленников

Когда пользователь добавляет новое устройство в аккаунт Dashlane, сервис отправляет на зарегистрированный email одноразовый шестизначный код. Без этого кода регистрация устройства невозможна. Для пользователей с двухфакторной аутентификацией вместо email-кода используется TOTP из приложения-аутентификатора.

Атакующие нашли способ обойти ограничения на количество попыток. Брутфорс одного аккаунта — перебор всех 1 000 000 возможных шестизначных комбинаций в трёхчасовом окне действия кода — практически бессмысленен: скорость запросов к одному аккаунту ограничена, и система его заблокирует.

Вместо этого злоумышленники атаковали сразу тысячи аккаунтов параллельно. Логика проста: при атаке на два аккаунта одновременно шанс угадать код для каждой попытки вырастает до 1 из 500 000. При атаке на 1000 аккаунтов — уже 1 из 1000. Чем больше аккаунтов в пуле, тем выше вероятность попадания хотя бы в один из них при каждой итерации.

Эта техника — аналог «password spraying», только применённая к одноразовым кодам. Она же ослабляет rate limiting: нагрузка размазывается по огромному числу аккаунтов, и ни один из них не достигает порога блокировки достаточно быстро. Автоматические системы безопасности Dashlane в итоге сработали и заблокировали целевые аккаунты, однако не раньше, чем атакующие успели зарегистрировать устройства на нескольких из них.

Что получили злоумышленники и насколько это опасно

Скачанные хранилища зашифрованы и без мастер-пароля представляют собой бесполезный набор данных. Dashlane использует алгоритм Argon2 — он намеренно делает процесс хеширования вычислительно дорогим. Даже при использовании GPU или специализированного железа перебор паролей требует колоссальных ресурсов и времени.

Если мастер-пароль пользователя длинный, случайно сгенерированный и не фигурирует ни в каких словарях — шансы взломать хранилище ничтожно малы. Риск выше у тех, кто использовал простые или словарные мастер-пароли: в этом случае атакующие могут попробовать стандартные списки для взлома.

Важно и то, что все поля хранилищ Dashlane зашифрованы, включая URL сайтов. Это принципиальное отличие от скандального взлома LastPass в 2022 году, когда адреса сайтов хранились в открытом виде — это позволило атакующим целенаправленно атаковать наиболее ценные аккаунты даже без мастер-пароля.

Другое преимущество Dashlane перед LastPass — автоматическое обновление алгоритмов шифрования. Когда компания усиливает параметры хеширования, процесс происходит без участия пользователя. У LastPass в 2022-м обновление алгоритма требовало явных действий от пользователя, и многие хранилища так и остались защищены устаревшими параметрами.

Что делать пострадавшим и почему это важно для всех

Dashlane рекомендует пользователям, получившим уведомление об инциденте, немедленно сменить мастер-пароль и обновить пароли во всех сервисах, хранившихся в хранилище. Это снижает риск даже в маловероятном сценарии успешного взлома.

Остальным пользователям Dashlane никаких действий предпринимать не нужно. Тем не менее инцидент — хороший повод проверить, насколько надёжен ваш мастер-пароль. Если он короткий, словарный или используется где-то ещё — его стоит заменить вне зависимости от этой атаки.

Для белорусских IT-специалистов и предпринимателей, работающих с зарубежными сервисами и хранящих корпоративные учётные данные в менеджерах паролей, этот случай напоминает о базовом правиле: мастер-пароль должен быть уникальным, длинным и случайным — в идеале сгенерированным самим менеджером паролей и сохранённым офлайн. Двухфакторная аутентификация через TOTP-приложение (а не SMS) в данном случае не спасла бы от атаки, но в целом остаётся важным уровнем защиты.

Начальное уведомление Dashlane об инциденте было расплывчатым и породило путаницу среди пользователей. Детальное объяснение механики атаки компания опубликовала только в четверг — спустя несколько дней после начала кампании. Прозрачность в таких ситуациях критична: именно её нехватка в своё время усугубила репутационный ущерб от истории с LastPass.

— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business.