1Пароль не було зламано або скомпрометовано; тривожні сповіщення про зміну пароля надійшли через неправильну обробку помилок
У ніч на 27 квітня всі активні користувачі 1Password у США отримали таке сповіщення: «ваш секретний ключ або пароль нещодавно змінено. Введіть дані нового облікового запису, щоб продовжити». Оскільки вони не змінили своїх паролів, сповіщення викликало занепокоєння.
Але популярний менеджер паролів не був зламаний або атакуваний. Сповіщення було помилково надіслано під час збою після планового технічного обслуговування та 1Password журнали громадського обслуговування пояснив ситуацію одразу після інциденту.
Пізніше 1Password було випущено офіційна заява пояснити, що сталося, і вибачитися. Приблизно о 21:00 за східним часом відповідної ночі компанія 1Password завершувала планове обслуговування баз даних, коли їхні сервери отримали незвичайну кількість запитів на синхронізацію від клієнтських пристроїв. Системи відхилили вхід і повернули повідомлення про помилку, яке клієнтські програми помилково сприйняли як сповіщення про зміну пароля.
Паролі та дані фактично не були змінені та не вплинули на них. Для додаткової безпеки 1Password захищає резервні копії за допомогою шифрування. Перевірте наш керівництво менеджера паролів чому це важливо.
Збій був короткочасним, і сервіс знову повністю запрацював. «До 28 квітня не було додаткових помилкових повідомлень, і ми змогли підтвердити, що виправлення працювали, як очікувалося», — пояснюється в заяві.
Технічний директор 1Password Педро Канахуаті також повідомив, що триває розслідування збою, щоб проаналізувати причину. Висновки допоможуть налаштувати процес обслуговування та обробки помилок, щоб інцидент більше не повторювався.
Однак швидкий пошук на форумах підтримки 1Password показує тему з тим самим повідомленням про помилку. Учасник спільноти подав скаргу після того, як у грудні 2022 року зіткнувся з помилкою на своєму пристрої Mac, на яку команда 1Password публічно відреагувала.
Хоча це не був інцидент безпеки, страх 1Password виник лише через кілька місяців після Порушення LastPass. LastPass, ще один популярний менеджер паролів, минулого року зазнав серйозного зламу. Зловмисники викрадали історію URL-адрес користувачів, імена, платіжні адреси, електронні адреси, номери телефонів, IP-адреси та зашифровані облікові дані для входу. Частина вихідного коду LastPass також просочилася. У нас є список альтернативи LastPass для читачів, які піклуються про безпеку.
1Password ніколи не зазнавав інцидентів безпеки. Але злом LastPass дає контекст тривожним припущенням, які виникли після події 27 квітня.
Офіційна заява припинила ці припущення. «Ми дуже серйозно ставимося до цілісності ваших даних і стабільності наших систем і будемо так і надалі щодня наполегливо працюйте, щоб заслужити довіру, яку ви нам висловили», – запевнив технічний директор 1Password. клієнтів.