Уразливість у 11 менеджерах паролів ставить під загрозу дані 40 мільйонів користувачів

Менеджери паролів традиційно вважаються надійними інструментами для збереження даних, однак нове дослідження показало серйозну уразливість у 11 популярних сервісах якими користуються близько 40 млн людей у світі Як повідомляє The Hacker News, проблема пов’язана з так званою атакою DOM-based extension clickjacking яку представив дослідник Марек Тот на конференції DEF CON 33.

Уразливість виявили в браузерних розширеннях таких менеджерів:

• 1Password;
• Bitwarden;
• Dashlane;
• Enpass;
• iCloud Passwords;
• Keeper;
• LastPass;
• LogMeOnce;
• NordPass;
• ProtonPass;
• RoboForm;

Як працює атакаХакери створюють фальшиві сайти з прихованими елементами інтерфейсу. Клікнувши, наприклад, щоб закрити банер про cookie, користувач може несвідомо активувати автозаповнення у менеджері паролів. У цей момент дані — логіни, паролі, одноразові коди 2FA, навіть реквізити банківських карт — автоматично передаються зловмисникам.

Особливу небезпеку створює те, що більшість менеджерів заповнюють дані не лише на основному домені, а й на піддоменах, що значно розширює поле для атак.

Чи є захистФахівці радять:

• вимкнути автоматичне автозаповнення в налаштуваннях розширення;
• у браузерах Chromium перевести доступ сайту на режим «on click»
• вводити дані лише на перевірених сайтах і уважно перевіряти URL.

Запис Уразливість у 11 менеджерах паролів ставить під загрозу дані 40 мільйонів користувачів спершу з'явиться на Double.News.