Dashlane: Утечка зашифрованных хранилищ вновь подчеркивает критичность мастер-пароля

Менеджеры паролей позволяют безопасно использовать уникальные и сложные пароли для всех онлайн-сервисов. Однако их собственная безопасность полностью зависит от надежности мастер-пароля, который зачастую остается последним барьером на пути киберпреступников. Недавняя утечка данных в Dashlane ярко иллюстрирует этот принцип.

Вслед за LastPass, столкнувшимся с серьезной утечкой в конце 2022 года, жертвой инцидента стал и Dashlane. Компания подтвердила, что злоумышленники смогли загрузить копии зашифрованных хранилищ менее чем 20 пользователей, использующих персональные тарифные планы.

Зашифрованные хранилища в руках злоумышленников

Атака началась 31 мая 2026 года, когда хакер предпринял попытку брутфорса (перебора паролей) против определенных учетных записей Dashlane. Целью было обойти двухфакторную аутентификацию для регистрации новых устройств и последующего получения доступа к данным пользователей.

Несмотря на имеющиеся защитные механизмы, которые позволили ограничить масштаб атаки, полностью предотвратить кражу данных не удалось. Системы безопасности Dashlane автоматически заблокировали целевые учетные записи из-за большого числа попыток входа, временно приостановив их работу. Однако для примерно двадцати клиентов их зашифрованные хранилища все же были похищены. Dashlane уже связался с каждым из пострадавших пользователей.

Каковы риски?

В случае похищения зашифрованных хранилищ, сами по себе они не представляют немедленной угрозы для злоумышленников, пока они не смогут их расшифровать. Однако, если им удастся получить доступ, это откроет им целую «пещеру Али-Бабы», содержащую все конфиденциальные данные пользователя: пароли, логины и прочую информацию.

Для достижения своей цели хакеры могут использовать фишинг, чтобы вынудить пользователя непроизвольно раскрыть свой мастер-пароль, или применить метод грубой силы. Последний заключается в попытке перебора всех возможных комбинаций до тех пор, пока не будет найден верный пароль. Теоретически, этот метод всегда работает, но на практике для сложных и длинных паролей требуется практически бесконечное количество времени, что определяется их энтропией.

Если ваш мастер-пароль — это что-то вроде «password123», он не продержится и нескольких секунд. Имея копию вашего хранилища, злоумышленник может осуществлять неограниченное количество попыток расшифровки до тех пор, пока не подберет правильный мастер-пароль, тем самым преодолев все защиты.

Последствия утечки LastPass ощущаются годами

Утечка данных в LastPass в конце 2022 года служит ярким тому подтверждением. Как сообщает BleepingComputer, последствия этой утечки ощущались даже в 2025 году: «Вместо того чтобы криптокошельки (которые также иногда хранятся в менеджерах паролей) были опустошены сразу после взлома, кражи происходили волнами через месяцы или даже годы, что показывает, как злоумышленники постепенно расшифровывали хранилища».

Иными словами: если ваше хранилище оказалось скомпрометировано, настоятельно рекомендуется немедленно изменить все секреты и пароли, которые в нем хранятся. Злоумышленник может взломать его как сейчас, так и через несколько лет, когда вычислительная мощность станет значительно дешевле.

Ваш мастер-пароль должен быть надежным и устойчивым!

Dashlane признает, что не устанавливает «специфических требований к мастер-паролям», но при этом использует алгоритм zxcvbn (разработанный Дэниелом Лоу Уилером из Dropbox) для оценки надежности пароля при его создании. Компания также предоставляет пользователям рекомендации по выбору безопасных паролей.

Хотя клиенты Dashlane оказались жертвами, этот инцидент служит мощным напоминанием о решающей роли мастер-пароля, который является последним рубежом защиты в случае утечки данных. Это утверждение актуально для любого менеджера паролей, включая решения с самостоятельным хостингом. Если вы размещаете менеджер паролей на собственном сервере, ни в коем случае не стоит недооценивать важность надежного мастер-пароля.