Dashlane spiega come è avvenuto il furto dei vault

Dashlane ha comunicato che l’indagine è terminata. Non sono stati individuati altri utenti interessati dal furto dei vault cifrati, né prove di intrusioni nei sistemi interni. La software house ha quindi spiegato in dettaglio come è avvenuto l’attacco brute force.

Abuso della funzionalità di registrazione

L’attacco brute force è stato effettuato il 31 maggio da parte di ignoti cybercriminali. L’obiettivo era quello di aggirare l’autenticazione in due fattori (2FA) per associare nuovi dispositivi agli account esistenti. I cybercriminali sono riusciti anche a scaricare i vault cifrati di circa 20 utenti.

Quando un utente installa l’app su un nuovo dispositivo ed effettua l’associazione all’account esistente, Dashlane avvia la verifica dell’identità. Viene quindi inviato un codice a sei cifre all’indirizzo email usato per la registrazione (gli utenti che hanno attivato la 2FA devono usare un’app di autenticazione). L’utente inserisce il codice e viene scaricata una copia del vault cifrato sul nuovo dispositivo.

Per decifrare il vault serve una master password che non viene conservata sui server di Dashlane. La crittografia utilizzata (Argon2 + AES-256-CBC + HMAC-SHA256) garantisce che la probabilità di ottenere l’accesso è molto bassa (a meno che l’utente non sia vittima di phishing con furto della master password).

L’attacco brute force ha preso di mira il meccanismo per la registrazione dei dispositivi. I cybercriminali hanno inviato un numero elevato di richieste di registrazione agli account esistenti e cercato di indovinare il codice a sei cifre. In questo modo sono riusciti ad accedere a circa 20 account e scaricare una copia dei vault cifrati. Gli altri tentativi sono stati rilevati da Dashlane e il sistema di protezione ha sospeso temporaneamente gli account.

La software house ha implementato ulteriori protezioni per rilevare simili attacchi e aggiunto altri livelli di verifica alla procedura di registrazione dei nuovi dispositivi. Gli utenti interessati devono ovviamente cambiare tutte le credenziali conservate nell’app e la master password.