1Password no fue violada ni comprometida; las preocupantes alertas de cambio de contraseña provinieron de un mal manejo de errores
En la noche del 27 de abril, todos los usuarios activos de 1Password en los EE. UU. recibieron la siguiente notificación: “su clave secreta o contraseña fue cambiada recientemente. Ingrese los detalles de su nueva cuenta para continuar”. Como no habían cambiado sus contraseñas, la alerta era preocupante.
Pero el popular administrador de contraseñas no fue vulnerado ni atacado. La notificación se envió por error durante una interrupción después del mantenimiento de rutina, y 1Password registros de mantenimiento públicos explicó la situación inmediatamente después del incidente.
1Password publicó más tarde un Declaración oficial para explicar lo sucedido y disculparse. Alrededor de las 9 p.m. ET de la noche en cuestión, 1Password estaba completando el mantenimiento programado de las bases de datos cuando sus servidores recibieron una cantidad inusual de solicitudes de sincronización de dispositivos cliente. Los sistemas rechazaron los inicios de sesión y arrojaron un error que las aplicaciones cliente malinterpretaron como alerta de cambio de contraseña.
Las contraseñas y los datos en realidad no se cambiaron ni se vieron afectados. Para mayor seguridad, 1Password protege las copias de seguridad con cifrado. Echa un vistazo a nuestro guía del administrador de contraseñas por qué eso es importante.
La interrupción fue breve y el servicio vuelve a estar plenamente operativo. "Para el 28 de abril, no había mensajes erróneos adicionales y pudimos confirmar que las correcciones estaban funcionando como se esperaba", explica el comunicado.
El CTO de 1Password, Pedro Canahuati, también informó que se está llevando a cabo una investigación de la interrupción para analizar la causa. Los hallazgos ayudarán a modificar el proceso de mantenimiento y manejo de errores, para que el incidente no vuelva a ocurrir.
Sin embargo, una búsqueda rápida en los foros de soporte de 1Password revela un hilo que describe el mismo mensaje de error. Un miembro de la comunidad presentó la denuncia después de encontrar el error en su dispositivo Mac en diciembre de 2022, al que el equipo de 1Password respondió públicamente.
Aunque no fue un incidente de seguridad, el susto de 1Password se produjo sólo unos meses después del Incumplimiento de LastPass. LastPass, otro popular administrador de contraseñas, se ha estado recuperando de un grave ataque el año pasado. Las partes malintencionadas robaron el historial de URL, los nombres, las direcciones de facturación, los correos electrónicos, los números de teléfono, las direcciones IP y las credenciales de inicio de sesión cifradas de los usuarios. También se filtró parte del código fuente de LastPass. Tenemos una lista de alternativas a LastPass para lectores preocupados por la seguridad.
1Password nunca ha sufrido un incidente de seguridad. Pero el hack de LastPass sí da contexto a la preocupante especulación que siguió al evento del 27 de abril.
La declaración oficial puso fin a esa especulación. “Nos tomamos muy en serio la integridad de sus datos y la estabilidad de nuestros sistemas y continuaremos Trabaja duro todos los días para ganarte la confianza que has depositado en nosotros”, aseguró además el CTO a 1Password. clientes.