{"title":"Dashlane взломали через регистрацию нового устройства — и это уже неприятно, даже если хранилища зашифрованы","url":"https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/","markdownUrl":"https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults.md","language":"ru","category":"news","publishedAt":"2026-06-08T15:00:10.000Z","updatedAt":"2026-06-08T15:00:10.000Z","references":["https://arstechnica.com/security/2026/06/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/","https://news.google.com/rss/articles/CBMiuwFBVV95cUxNeWlFSHN4ZU5YNDc5cHlqMkJ1d25JR2xyQVhlWHMweWtvWXlWaE1zWlEzNkpEc1luVlVhN1JUUXpoWi1xSFF2TXR0R3FsdEhxTmV1d0VqaE9RRVdNa20xd0ZvZEpOdGNTTmJabGgxLUlpd3VBQ3QwdVFTUmpiZmJuZUEwcjdxUVlvRnhGb2J0cG85TkVLZmlIYXdjV1NqekdtdXhQeE5xX3luOFhmc2JIalhLem5MRXVVc3Zv?oc=5","https://news.google.com/rss/articles/CBMilwFBVV95cUxQLW9DcXNBQkpROUlQdHd1NDItYm42ZEp6OXZRNGtjT2ZUYnEtYko1QzRoY3J5d2lYeXlxR1JEV1V3dF95QWExUDZfZUxmMFVZQWZyUlY2UWRjbDlhT2ZpRDlDbW1WRlFGTk5mcWpQaVNpLVd3bUxpTldTWHo5UUlOR3ZKVW9vR1J3WktMeG9DQmg2QTc4Q2I4?oc=5","https://news.google.com/rss/articles/CBMirwFBVV95cUxPUFZoLUVNdWJPRUozenBvLTMxTGdNdUVjM2paeXltSTFGTjdmclNqT1NIZG4wZVBnLXJzMFNfQVFzV2VNRXZxSzdNT1lxeU5fakxpZlMzaE1ydDBpZDRVcHIxeExTZndNUjg2anVFTXdwTUs1dnFaYUNncjc5ZUVTcWJ6djdBU3Q1MDZNZDZrNWRfaFhENUlHMGc1NnlLN055ZEU5Ti1kek1oUXl4MUJV?oc=5"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# Dashlane взломали через регистрацию нового устройства — и это уже неприятно, даже если хранилища зашифрованы\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-06-08\n- Canonical: https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/\n- Markdown: https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults.md\n- Summary: Атакующие массово долбили API Dashlane и успели скачать меньше 20 зашифрованных vault’ов. Шифрование помогло, но API-дыра всё равно пугает.\n- Tags: #dashlane #кибербезопасность #менеджерыпаролей #api #2fa\n- Image: https://verapointmedia.com/static/content-assets/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/cover.webp\n\n## Sources\n\n- https://arstechnica.com/security/2026/06/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/\n- https://news.google.com/rss/articles/CBMiuwFBVV95cUxNeWlFSHN4ZU5YNDc5cHlqMkJ1d25JR2xyQVhlWHMweWtvWXlWaE1zWlEzNkpEc1luVlVhN1JUUXpoWi1xSFF2TXR0R3FsdEhxTmV1d0VqaE9RRVdNa20xd0ZvZEpOdGNTTmJabGgxLUlpd3VBQ3QwdVFTUmpiZmJuZUEwcjdxUVlvRnhGb2J0cG85TkVLZmlIYXdjV1NqekdtdXhQeE5xX3luOFhmc2JIalhLem5MRXVVc3Zv?oc=5\n- https://news.google.com/rss/articles/CBMilwFBVV95cUxQLW9DcXNBQkpROUlQdHd1NDItYm42ZEp6OXZRNGtjT2ZUYnEtYko1QzRoY3J5d2lYeXlxR1JEV1V3dF95QWExUDZfZUxmMFVZQWZyUlY2UWRjbDlhT2ZpRDlDbW1WRlFGTk5mcWpQaVNpLVd3bUxpTldTWHo5UUlOR3ZKVW9vR1J3WktMeG9DQmg2QTc4Q2I4?oc=5\n- https://news.google.com/rss/articles/CBMirwFBVV95cUxPUFZoLUVNdWJPRUozenBvLTMxTGdNdUVjM2paeXltSTFGTjdmclNqT1NIZG4wZVBnLXJzMFNfQVFzV2VNRXZxSzdNT1lxeU5fakxpZlMzaE1ydDBpZDRVcHIxeExTZndNUjg2anVFTXdwTUs1dnFaYUNncjc5ZUVTcWJ6djdBU3Q1MDZNZDZrNWRfaFhENUlHMGc1NnlLN055ZEU5Ti1kek1oUXl4MUJV?oc=5\n\n---\n\n## Когда парольный сейф уезжает в чужие руки, уже не очень хочется делить это на “много” и “мало”\n\nМеньше 20 хранилищ паролей — вроде бы цифра небольшая. Но подождите, а это вообще нормально, что при атаке на менеджер паролей злоумышленники вообще успели что-то скачать?\n\nВот в этом и неприятная часть: речь не о том, что кто-то “угадал пароль” к сервису. А о том, что атакующие массово били по механизму регистрации нового устройства в Dashlane — то есть пытались выдать себя за владельца и подключить свой телефон или компьютер к чужому аккаунту. И уже после этого скачать зашифрованный vault, то есть хранилище паролей в виде набора данных, который сам по себе закрыт шифрованием.\n\n## Как это выглядело на практике — довольно буднично, и от этого ещё хуже\n\nПо данным Ars Technica, атака началась в воскресенье. Злоумышленники использовали API регистрации устройств — это программный интерфейс, через который приложение “договаривается” с сервисом о новом доверенном устройстве.\n\nИ вот тут начинаются те самые детали, на которые обычно не обращают внимания, пока не случается беда. Dashlane отправляет на email одноразовый шестизначный код, а для тех, у кого включена 2FA, двухфакторная аутентификация, проверяет код из приложения-аутентификатора. То есть формально защита есть.\n\nНо атакующие пошли не в лоб, а в луп: массовые автоматические запросы, брутфорс токенов — грубо говоря, подбор правильного токена доступа на высокой скорости. Автоматика Dashlane сработала и начала блокировать цели. Просто, как выяснилось, не мгновенно и не идеально.\n\n## Шифрование помогло. Но это не тот случай, когда можно спокойно выдохнуть\n\nСамое важное тут — не перепутать “зашифровано” с “безопасно и ничего страшного”. Нет, так не работает. Шифрование vault’ов действительно снижает ущерб: атакующий не получает пароли в открытом виде просто из скачанного файла.\n\nНо если у человека слабый мастер-пароль, если 2FA не включена, если где-то в цепочке есть ещё уязвимость или повторно используемый секрет — картина уже совсем не такая приятная. И даже без этого сам факт, что кто-то смог зарегистрировать устройство и вытащить encrypted vault, значит: дверь в дом вскрывали, пусть и не до конца.\n\nDashlane говорит, что успели скачать меньше 20 личных хранилищ. Это не массовая катастрофа в стиле “все пользователи пропали”. Но и не повод махнуть рукой. Потому что атака была массовой по замыслу: били по большому числу адресов, чтобы увеличить шанс успеха. Такой подход обычно и страшнее, и скучнее одновременно — никаких киношных взломов, просто поток запросов, который ищет слабое место.\n\n## Где тут реальная польза для обычного пользователя\n\nЕсли у вас есть Dashlane или любой другой менеджер паролей, эта история не про “срочно всё удаляйте”. Скорее, про три очень земные вещи.\n\nВо-первых, 2FA должна быть включена. Не “потом”, не “когда-нибудь”, а прямо в настройках.\nВо-вторых, мастер-пароль должен быть длинным и не похожим на пароль от почты 2017 года.\nВ-третьих, стоит смотреть на уведомления о новых устройствах и входах не как на шум, а как на сигнал.\n\nЕсли вам прилетело письмо или пуш о регистрации нового устройства, а вы этого не делали, это уже не мелочь. Тут как раз полезно проверять историю входов и состояние аккаунта сразу, а не через неделю, когда всё уже уплыло в чьи-то скрипты.\n\n## А вот где начинается PR-часть, и я бы тут не слишком расслаблялась\n\nDashlane сообщает, что автоматическая блокировка сработала и атаку быстро остановили. И это, конечно, лучше, чем если бы всё продолжалось сутки и никто ничего не заметил. Но формулировка “менее 20” — тоже удобная штука. Она успокаивает. Иногда даже слишком.\n\nПроблема в том, что уязвимость такого типа может быть повторно использована, если механизм регистрации устройств и массовые запросы не закрыты достаточно жёстко. Ars Technica отдельно отмечает: удар пришёлся по API, а значит, вопрос не только в данных жертв, но и в том, как именно устроена защита на входе.\n\nИ да, это уже системный вопрос. Не про один неудачный вечер, а про то, насколько хорошо менеджер паролей выдерживает именно автоматизированную атаку, а не аккуратный ручной вход одного человека.\n\n## Что я бы вынесла из этой истории без паники, но с вниманием\n\nНе надо срочно менять вообще все пароли только из-за этого инцидента. Но если вы пользователь Dashlane, я бы сделала простую проверку: включена ли 2FA, насколько силён мастер-пароль, нет ли странных уведомлений о новых устройствах, не было ли неожиданных писем о регистрации.\n\nИ ещё одна вещь, которая мне тут кажется важной: менеджер паролей — это не магический сейф “раз и навсегда”. Это очень полезный инструмент, но он всё равно живёт на земле, где есть API, токены, автоматические блокировки и злоумышленники, которые умеют бить не в дверь, а в замок на двери. Ну и ну.\n\n## Материалы\n\n- [Ars Technica] Dashlane explains how attackers managed to download encrypted password vaults: https://arstechnica.com/security/2026/06/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiuwFBVV95cUxNeWlFSHN4ZU5YNDc5cHlqMkJ1d25JR2xyQVhlWHMweWtvWXlWaE1zWlEzNkpEc1luVlVhN1JUUXpoWi1xSFF2TXR0R3FsdEhxTmV1d0VqaE9RRVdNa20xd0ZvZEpOdGNTTmJabGgxLUlpd3VBQ3QwdVFTUmpiZmJuZUEwcjdxUVlvRnhGb2J0cG85TkVLZmlIYXdjV1NqekdtdXhQeE5xX3luOFhmc2JIalhLem5MRXVVc3Zv?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMilwFBVV95cUxQLW9DcXNBQkpROUlQdHd1NDItYm42ZEp6OXZRNGtjT2ZUYnEtYko1QzRoY3J5d2lYeXlxR1JEV1V3dF95QWExUDZfZUxmMFVZQWZyUlY2UWRjbDlhT2ZpRDlDbW1WRlFGTk5mcWpQaVNpLVd3bUxpTldTWHo5UUlOR3ZKVW9vR1J3WktMeG9DQmg2QTc4Q2I4?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMirwFBVV95cUxPUFZoLUVNdWJPRUozenBvLTMxTGdNdUVjM2paeXltSTFGTjdmclNqT1NIZG4wZVBnLXJzMFNfQVFzV2VNRXZxSzdNT1lxeU5fakxpZlMzaE1ydDBpZDRVcHIxeExTZndNUjg2anVFTXdwTUs1dnFaYUNncjc5ZUVTcWJ6djdBU3Q1MDZNZDZrNWRfaFhENUlHMGc1NnlLN055ZEU5Ti1kek1oUXl4MUJV?oc=5\n"}