Dashlane: תוקף ניחש קודי אימות והוריד כספות מוצפנות של פחות מ-20 משתמשים
ב-31 במאי החלה מתקפת ניחוש נגד חשבונות Dashlane. התוקף רשם מכשיר חדש בחשבונות של פחות מ-20 משתמשים והוריד את הכספת המוצפנת שלהם. בלי הסיסמה הראשית אי אפשר לפתוח אותה.
TL;DR בקצרה
- החל מ-31 במאי ניסה תוקף לנחש קודי אימות בני שש ספרות בתהליך רישום מכשיר חדש ב-Dashlane.
- בפחות מ-20 חשבונות אישיים הוא הצליח, רשם מכשיר והוריד עותק מוצפן של הכספת.
- לפי Dashlane, בלי הסיסמה הראשית אי אפשר לפתוח את הכספת, והחברה לא מוצאת פגיעה במערכות שלה.
- ב-3 בספטמבר הודיעה Dashlane שהוסיפה שכבות אימות לרישום מכשירים חדשים.
ב-31 במאי החל תוקף לנחש קודי אימות בחשבונות של Dashlane, ובפחות מ-20 חשבונות אישיים הוא הצליח. הוא רשם מכשיר חדש והוריד עותק של הכספת המוצפנת. לפי הודעת האבטחה של החברה, בלי הסיסמה הראשית אי אפשר לפתוח אותה. החברה פרסמה אותה ב-1 ביוני.
מה קרה ב-Dashlane בסוף מאי
המתקפה התחילה ביום ראשון, 31 במאי. גורם חיצוני שיגר מספר עצום של ניסיונות כניסה נגד חשבונות מסוימים. מטרתו הייתה לעקוף את האימות הדו-שלבי ולרשום מכשירים חדשים בחשבונות קיימים.
בגלל נפח הניסיונות, מערכות ההגנה של השירות נעלו אוטומטית את החשבונות שהותקפו. רבים מהמשתמשים נחסמו זמנית. הגישה שלהם חזרה בהמשך.
ב-4 ביוני הודיעה החברה שהחקירה הסתיימה. היא לא זיהתה פגיעה נוספת במשתמשים, ואין לה ראיות לפגיעה במערכות הפנימיות שלה. היא פנתה ישירות לכל מי שהתוקף הוריד את הכספת שלו. מי שלא קיבל הודעה על סיכון לכספת, החשבון שלו לא נפגע.
איך ניחוש של קוד בן שש ספרות פתח את הדלת
לפי ההודעה, התוקף תקף את ממשקי ה-API של רישום מכשיר. זה התהליך שמוסיף טלפון או מחשב לחשבון. כשמשתמש מוסיף מכשיר, השירות מעביר קוד חד-פעמי בן שש ספרות לכתובת המייל שלו. אצל מי שהפעיל אימות דו-שלבי, הקוד מגיע מאפליקציית האימות.
אחרי שהמשתמש מזין את הקוד, המערכת רושמת את המכשיר ומורידה אליו את הכספת בצורתה המוצפנת. קוד בן שש ספרות הוא אחד ממיליון צירופים אפשריים. התוקף שלח המון בקשות אוטומטיות. לפני שהמערכת עצרה אותו, הוא ניחש קודים תקפים בחשבונות של פחות מ-20 משתמשים אישיים.
למה הכספת של Dashlane עדיין מוגנת
עותק של כספת אינו אותו דבר כמו הסיסמאות שבתוכה. לפי החברה, אי אפשר לפתוח אותה בלי הסיסמה הראשית, שמשמשת מפתח פענוח. החברה מצהירה שהיא לא מאחסנת את הסיסמה הזו, או ערכים שנגזרים ממנה, בשרתים. זו שיטת zero-knowledge.
ההצפנה משלבת Argon2, AES-256-CBC ו-HMAC-SHA256. לדברי החברה, ניסיון לפתוח כספת בלי הסיסמה לא צפוי להצליח גם אחרי זמן רב. לכן הסיכון תלוי בעיקר בחוזק הסיסמה. סיסמה חלשה היא הנקודה שבה עותק גנוב עלול להיפתח.
מה זה אומר עבורכם
- בדקו את רשימת המכשירים: היכנסו להגדרות החשבון והסירו מכשיר שאינכם מכירים. זו המלצה של החברה.
- הפעילו אימות דו-שלבי: אם הוא כבוי, הפעילו אותו. גם זו המלצה של החברה.
- חזקו את הסיסמה הראשית: היא צריכה להיות ארוכה, ייחודית וקשה לניחוש. לפי החברה, אין צורך להחליף אותה אלא אם היא חלשה או שחשדתם בפישינג.
- לא קיבלתם הודעה מהחברה? אז לדברי החברה אין השפעה על החשבון שלכם. אין צורך להחליף סיסמאות שבכספת.
- עדכנו את האפליקציה: החברה ממליצה להתקין את הגרסה העדכנית, כי שיפורי האבטחה מגיעים איתה.
- שוקלים לעבור למפתחות גישה? המדריך של CyberGuard ל-Passkeys.
מה קרה מאז
ב-3 בספטמבר עדכנה Dashlane את ההודעה. היא כתבה שהפעילה שכבות אימות נוספות בתהליך רישום מכשיר חדש. היא גם מוציאה מהשירות קוד וממשקי API ישנים בקצב מהיר. בנוסף היא מחזקת את ההגנה מפני תקיפות אוטומטיות בנפח גבוה ומפני ניסיונות מיפוי. ועוד היא משדרגת את תהליכי ההצפנה באימות ובגישה לכספת.
מקורות והרחבה
- Security advisory: Brute force attack on Dashlane user accountsDashlane
- Dashlane Details How Hackers Managed to Download Encrypted Password VaultsCyber Security News
- Dashlane security incident, May 31 - June 4, 2026Gigazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
