Мы собрали наиболее важные новости из мира кибербезопасности за неделю.
Злоумышленникам удалось обойти двухфакторную аутентификацию (2FA) и скачать зашифрованные хранилища с учетными данными пользователей Dashlane. Об этом сообщил разработчик менеджера паролей.
Кампания началась 31 мая 2026 года и была нацелена на API-эндпоинты регистрации новых устройств. Хакеры запустили цикл перебора шестизначных одноразовых кодов, которые отправлялись жертвам на электронную почту или генерировались в приложениях-аутентификаторах.
Несмотря на то, что автоматизированные системы безопасности Dashlane зафиксировали аномалию и начали временно блокировать целевые аккаунты, атакующие успели подобрать правильные коды для небольшого числа жертв. Пройдя верификацию 2FA, хакеры авторизовали в профилях пользователей свои устройства, после чего приложение автоматически скачало на них полные копии зашифрованных хранилищ.
По данным компании, в результате инцидента пострадали «менее 20 пользователей». Внутренняя инфраструктура и серверы самого Dashlane не скомпрометированы. Компания внедрила дополнительные уровни проверки и блокировки подозрительного трафика.
Специалисты подчеркнули, что похищенные базы паролей остаются недоступными для хакеров без мастер-пароля жертвы. Благодаря ZKP-архитектуре и стойкому шифрованию данные защищены от быстрого взлома.
Поскольку хранилища теперь физически находятся на серверах злоумышленников, они могут использовать неограниченные вычислительные мощности для локального взлома. Ситуация во многом повторяет инцидент с LastPass в 2022 году.
Разработчик чипов безопасности Tropic Square раскрыл информацию об уязвимости в своем продукте TROPIC01, используемом в аппаратном криптокошельке Trezor Safe 7.
Проблему обнаружила команда исследователей безопасности Ledger Donjon в ходе независимого аудита. Специалисты провели успешную атаку типа Laser Fault Injection. В лабораторных условиях этот метод позволил обойти проверку подписи прошивки и извлечь часть секретных данных, защищаемых чипом.
Опираясь на отчет Donjon, в Tropic Square выявили сложный метод эксплуатации этой уязвимости для извлечения еще одного секрета. Он затрагивает функции TROPIC01, связанные с PIN-кодом.
