Dashlane: Утечка хранилищ напоминает о важности мастер-пароля

"Отлично, я поставил Password123!"

Менеджеры паролей позволяют создавать и использовать уникальные и сложные пароли для различных онлайн-сервисов. Однако сами эти менеджеры должны быть защищены надежным мастер-паролем, который часто служит последним рубежом обороны от киберпреступников. Недавняя утечка данных в сервисе Dashlane ярко демонстрирует эту критическую необходимость.

После инцидента с LastPass в конце 2022 года, теперь Dashlane столкнулся с утечкой данных. Компания подтвердила, что «злоумышленники смогли загрузить копии зашифрованных хранилищ менее чем 20 пользователей, использующих персональные тарифные планы».

Зашифрованные хранилища оказались в руках злоумышленников

Как поясняет компания, «начиная с воскресенья, 31 мая 2026 года, хакер предпринял брутфорс-атаку на некоторые учетные записи пользователей Dashlane». Злоумышленник пытался обойти двухфакторную аутентификацию, чтобы зарегистрировать новые устройства для доступа к данным учетных записей.

Разумеется, существующие меры защиты помогли ограничить атаку, но не полностью ее заблокировать. Dashlane заявляет: «Из-за большого количества попыток доступа к учетным записям пользователей, системы безопасности Dashlane автоматически заблокировали целевые аккаунты».

Некоторые учетные записи были временно приостановлены, но главное, что для примерно двадцати клиентов их хранилища паролей были похищены. Со всеми пострадавшими Dashlane уже связался индивидуально.

Каковы риски?

Если злоумышленники получили зашифрованные хранилища, они не смогут многого сделать, пока не сумеют их открыть. В случае успеха им станет доступна вся содержащаяся там информация: пароли, логины и прочие учетные данные – настоящая «пещера Али-Бабы».

Для достижения своих целей хакеры могут использовать фишинг, чтобы вынудить вас невольно «выдать» свой мастер-пароль, или прибегнуть к атаке грубой силы. Этот брутальный метод заключается в переборе всех возможных комбинаций до тех пор, пока не будет найдена верная. Теоретически, такой подход всегда приводит к успеху. На практике же для этого требуется почти бесконечное время, зависящее от длины и сложности вашего пароля, что также называют его энтропией.

Само собой разумеется, что если ваш пароль — «password123», он не продержится и нескольких секунд. Имея копию вашего хранилища, злоумышленник может выполнять неограниченное количество попыток, пока не найдет правильный пароль и не взломает защиту.

Годы спустя утечка LastPass продолжает собирать «урожай»

Утечка данных в LastPass в конце 2022 года служит ярким тому примером. Этот инцидент имел последствия даже в 2025 году, как сообщает BleepingComputer: «Вместо того чтобы криптокошелек (который также иногда хранится в хранилищах) был опустошен сразу после взлома, кражи происходили волнами спустя месяцы или даже годы, демонстрируя, как злоумышленники постепенно дешифровывали хранилища».

Иными словами: если ваше хранилище оказалось в открытом доступе, настоятельно рекомендуется немедленно изменить все секреты и пароли, которые в нем содержались. Злоумышленник может взломать его как сейчас, так и через несколько лет, когда вычислительная мощность станет значительно дешевле.

Ваш мастер-пароль должен быть надежным и стойким!

Dashlane признает, что у них нет «специфических требований к мастер-паролям», но при этом отмечает, что они используют «алгоритм zxcvbn [разработанный Дэниелом Лоу Уилером из Dropbox] для оценки надежности вашего пароля при его создании». Компания также дает несколько советов по выбору паролей.

Клиенты Dashlane стали жертвами этого инцидента, но сама ситуация служит серьезным напоминанием о критической важности мастер-пароля. Он является последним барьером в случае утечки данных. Это актуально для любого используемого менеджера паролей, включая (и особенно) самостоятельно размещенные решения. Если вы размещаете менеджер паролей на собственном сервере, ни в коем случае не недооценивайте значение мастер-пароля.