Cuộc tấn công Brute-force nhắm vào Dashlane làm lộ dữ liệu mã hóa của người dùng

Cuộc tấn công Brute-force nhắm vào Dashlane làm lộ dữ liệu mã hóa của người dùng

Dashlane, nhà cung cấp giải pháp quản lý mật khẩu và bảo mật thông tin xác thực, vừa tiết lộ vào thứ Hai rằng họ đã trở thành mục tiêu của một chiến dịch tấn công vét cạn (brute-force). Kết quả là một số lượng hạn chế các kho mật khẩu đã mã hóa (encrypted vaults) của người dùng đã bị tin tặc tải xuống.

Theo Dashlane, cuộc tấn công bắt đầu từ ngày 31 tháng 5, trong đó các kẻ tấn công đã cố gắng sử dụng phương pháp vét cạn để vượt qua lớp xác thực hai yếu tố (2FA) nhằm đăng ký thiết bị của chính chúng lên các tài khoản bị nhắm mục tiêu.

Minh họa trình quản lý mật khẩu

Công ty cho biết tin tặc đã sử dụng phần mềm tự động hóa để "nhanh chóng gửi mọi kết hợp số có thể vào hệ thống, với hy vọng đoán đúng chuỗi chính xác trước khi mã bảo vệ ngắn hạn hết hạn". Việc đăng ký thành công một thiết bị mới sẽ cho phép kẻ tấn công có quyền truy cập cần thiết để tải xuống kho dữ liệu đã mã hóa của người dùng từ máy chủ Dashlane.

Cuộc tấn công đã được phát hiện nhanh chóng và các tài khoản bị nhắm mục tiêu đã được hệ thống khóa tự động để hạn chế tác động. Tuy nhiên, Dashlane thừa nhận rằng tin tặc đã xâm nhập thành công một số tài khoản. Kẻ đe dọa này đã tải xuống bản sao các kho mật khẩu đã mã hóa thuộc về ít hơn 20 người dùng sử dụng gói cá nhân (personal plan).

"Dữ liệu kho Dashlane không thể truy cập được nếu không có Mật khẩu chính (Master Password), và mã hóa kho của chúng tôi đảm bảo rằng mọi nỗ lực truy cập vào kho đều có xác suất thống kê rất thấp thành công, ngay cả trong một thời gian dài," Dashlane tuyên bố.

Công ty lưu ý rằng cách duy nhất để kẻ tấn công có thể có được mật khẩu chính của người dùng là thông qua các cuộc tấn công lừa đảo (phishing). Do đó, dù tệp dữ liệu đã bị tải xuống, nội dung bên trong vẫn được bảo vệ an toàn trước khi bị giải mã.

Hiện tại, các tài khoản bị khóa đã được khôi phục và người dùng bị ảnh hưởng đã nhận được thông báo. Dashlane khẳng định không có bằng chứng nào cho thấy hệ thống nội bộ của công ty bị ảnh hưởng bởi vụ việc này. Người dùng được khuyến nghị vẫn cần cảnh giác với các nỗ lực lừa đảo nhằm lấy cắp mật khẩu chính.