1Password לא נפרצה או נפגעה; ההתראות המדאיגות על שינוי סיסמה הגיעו מטיפול שגוי
בליל ה-27 באפריל, כל משתמשי 1Password הפעילים בארה"ב קיבלו את ההודעה הבאה, "המפתח או הסיסמה הסודיים שלך שונו לאחרונה. הזן את פרטי החשבון החדש שלך כדי להמשיך". מכיוון שהם לא שינו את הסיסמאות שלהם, ההתראה הייתה מדאיגה.
אבל מנהל הסיסמאות הפופולרי לא נפרץ או מותקף. ההודעה נשלחה בטעות במהלך הפסקה לאחר תחזוקה שוטפת, ושל 1Password יומני תחזוקה ציבוריים הסביר את המצב מיד לאחר האירוע.
1Password שחררה מאוחר יותר הצהרה רשמית להסביר מה קרה ולהתנצל. בסביבות 21:00 ET של הלילה המדובר, 1Password השלימה תחזוקה מתוזמנת של מסדי נתונים כאשר השרתים שלהם קיבלו מספר חריג של בקשות סנכרון ממכשירי לקוח. המערכות דחו את הכניסות והחזירו שגיאה שאפליקציות לקוח קראו לא נכון כהתראה על שינוי סיסמה.
סיסמאות ונתונים לא שונו או הושפעו בפועל. לאבטחה נוספת, 1Password מאבטח גיבויים עם הצפנה. בדוק שלנו מדריך למנהל סיסמאות למה זה חשוב.
ההפסקה הייתה קצרה, והשירות שוב פעיל במלואו. "עד 28 באפריל, לא היו הודעות שגויות נוספות, והצלחנו לאשר שהתיקונים פעלו כצפוי", מסבירים בהצהרה.
1Password CTO Pedro Canahuati דיווח גם כי חקירת השיבוש מתבצעת על מנת לנתח את הסיבה. הממצאים יסייעו לצבוט את תהליך התחזוקה והטיפול בשגיאות, כך שהאירוע לא יחזור על עצמו.
עם זאת, חיפוש מהיר בפורומי התמיכה של 1Password מגלה שרשור המתאר את אותה הודעת שגיאה. חבר קהילה הגיש את התלונה לאחר שנתקל בשגיאה במכשיר ה-Mac שלו בדצמבר 2022, אליה הגיב צוות 1Password בפומבי.
למרות שלא היה תקרית ביטחונית, הבהלת 1Password הגיעה רק חודשים אחרי הפרת LastPass. LastPass, עוד מנהל סיסמאות פופולרי, נרתע מפריצה חמורה בשנה שעברה. גורמים זדוניים גנבו את היסטוריית הכתובות של המשתמשים, שמות, כתובות חיוב, מיילים, מספרי טלפון, כתובות IP ואישורי כניסה מוצפנים. חלק מקוד המקור של LastPass דלף גם כן. יש לנו רשימה של חלופות ל-LastPass עבור קוראים מודעים לאבטחה.
1Password מעולם לא סבל מאירוע אבטחה. אבל הפריצה של LastPass אכן נותנת הקשר לספקולציות המדאיגות בעקבות האירוע ב-27 באפריל.
ההצהרה הרשמית הניחה את הספקולציות. "אנו מתייחסים ברצינות רבה לשלמות הנתונים שלך וליציבות המערכות שלנו ונמשיך לעשות זאת תעבוד קשה כל יום כדי לזכות באמון שנתת בנו", הוסיף ה-CTO הרגיע את 1Password לקוחות.