# Dashlane взломали через регистрацию нового устройства — и это уже неприятно, даже если хранилища зашифрованы - Site: VeraPoint News - Section: Новости - Date: 2026-06-08 - Canonical: https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/ - Markdown: https://verapointmedia.com/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults.md - Summary: Атакующие массово долбили API Dashlane и успели скачать меньше 20 зашифрованных vault’ов. Шифрование помогло, но API-дыра всё равно пугает. - Tags: #dashlane #кибербезопасность #менеджерыпаролей #api #2fa - Image: https://verapointmedia.com/static/content-assets/news/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/cover.webp ## Sources - https://arstechnica.com/security/2026/06/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/ - https://news.google.com/rss/articles/CBMiuwFBVV95cUxNeWlFSHN4ZU5YNDc5cHlqMkJ1d25JR2xyQVhlWHMweWtvWXlWaE1zWlEzNkpEc1luVlVhN1JUUXpoWi1xSFF2TXR0R3FsdEhxTmV1d0VqaE9RRVdNa20xd0ZvZEpOdGNTTmJabGgxLUlpd3VBQ3QwdVFTUmpiZmJuZUEwcjdxUVlvRnhGb2J0cG85TkVLZmlIYXdjV1NqekdtdXhQeE5xX3luOFhmc2JIalhLem5MRXVVc3Zv?oc=5 - https://news.google.com/rss/articles/CBMilwFBVV95cUxQLW9DcXNBQkpROUlQdHd1NDItYm42ZEp6OXZRNGtjT2ZUYnEtYko1QzRoY3J5d2lYeXlxR1JEV1V3dF95QWExUDZfZUxmMFVZQWZyUlY2UWRjbDlhT2ZpRDlDbW1WRlFGTk5mcWpQaVNpLVd3bUxpTldTWHo5UUlOR3ZKVW9vR1J3WktMeG9DQmg2QTc4Q2I4?oc=5 - https://news.google.com/rss/articles/CBMirwFBVV95cUxPUFZoLUVNdWJPRUozenBvLTMxTGdNdUVjM2paeXltSTFGTjdmclNqT1NIZG4wZVBnLXJzMFNfQVFzV2VNRXZxSzdNT1lxeU5fakxpZlMzaE1ydDBpZDRVcHIxeExTZndNUjg2anVFTXdwTUs1dnFaYUNncjc5ZUVTcWJ6djdBU3Q1MDZNZDZrNWRfaFhENUlHMGc1NnlLN055ZEU5Ti1kek1oUXl4MUJV?oc=5 --- ## Когда парольный сейф уезжает в чужие руки, уже не очень хочется делить это на “много” и “мало” Меньше 20 хранилищ паролей — вроде бы цифра небольшая. Но подождите, а это вообще нормально, что при атаке на менеджер паролей злоумышленники вообще успели что-то скачать? Вот в этом и неприятная часть: речь не о том, что кто-то “угадал пароль” к сервису. А о том, что атакующие массово били по механизму регистрации нового устройства в Dashlane — то есть пытались выдать себя за владельца и подключить свой телефон или компьютер к чужому аккаунту. И уже после этого скачать зашифрованный vault, то есть хранилище паролей в виде набора данных, который сам по себе закрыт шифрованием. ## Как это выглядело на практике — довольно буднично, и от этого ещё хуже По данным Ars Technica, атака началась в воскресенье. Злоумышленники использовали API регистрации устройств — это программный интерфейс, через который приложение “договаривается” с сервисом о новом доверенном устройстве. И вот тут начинаются те самые детали, на которые обычно не обращают внимания, пока не случается беда. Dashlane отправляет на email одноразовый шестизначный код, а для тех, у кого включена 2FA, двухфакторная аутентификация, проверяет код из приложения-аутентификатора. То есть формально защита есть. Но атакующие пошли не в лоб, а в луп: массовые автоматические запросы, брутфорс токенов — грубо говоря, подбор правильного токена доступа на высокой скорости. Автоматика Dashlane сработала и начала блокировать цели. Просто, как выяснилось, не мгновенно и не идеально. ## Шифрование помогло. Но это не тот случай, когда можно спокойно выдохнуть Самое важное тут — не перепутать “зашифровано” с “безопасно и ничего страшного”. Нет, так не работает. Шифрование vault’ов действительно снижает ущерб: атакующий не получает пароли в открытом виде просто из скачанного файла. Но если у человека слабый мастер-пароль, если 2FA не включена, если где-то в цепочке есть ещё уязвимость или повторно используемый секрет — картина уже совсем не такая приятная. И даже без этого сам факт, что кто-то смог зарегистрировать устройство и вытащить encrypted vault, значит: дверь в дом вскрывали, пусть и не до конца. Dashlane говорит, что успели скачать меньше 20 личных хранилищ. Это не массовая катастрофа в стиле “все пользователи пропали”. Но и не повод махнуть рукой. Потому что атака была массовой по замыслу: били по большому числу адресов, чтобы увеличить шанс успеха. Такой подход обычно и страшнее, и скучнее одновременно — никаких киношных взломов, просто поток запросов, который ищет слабое место. ## Где тут реальная польза для обычного пользователя Если у вас есть Dashlane или любой другой менеджер паролей, эта история не про “срочно всё удаляйте”. Скорее, про три очень земные вещи. Во-первых, 2FA должна быть включена. Не “потом”, не “когда-нибудь”, а прямо в настройках. Во-вторых, мастер-пароль должен быть длинным и не похожим на пароль от почты 2017 года. В-третьих, стоит смотреть на уведомления о новых устройствах и входах не как на шум, а как на сигнал. Если вам прилетело письмо или пуш о регистрации нового устройства, а вы этого не делали, это уже не мелочь. Тут как раз полезно проверять историю входов и состояние аккаунта сразу, а не через неделю, когда всё уже уплыло в чьи-то скрипты. ## А вот где начинается PR-часть, и я бы тут не слишком расслаблялась Dashlane сообщает, что автоматическая блокировка сработала и атаку быстро остановили. И это, конечно, лучше, чем если бы всё продолжалось сутки и никто ничего не заметил. Но формулировка “менее 20” — тоже удобная штука. Она успокаивает. Иногда даже слишком. Проблема в том, что уязвимость такого типа может быть повторно использована, если механизм регистрации устройств и массовые запросы не закрыты достаточно жёстко. Ars Technica отдельно отмечает: удар пришёлся по API, а значит, вопрос не только в данных жертв, но и в том, как именно устроена защита на входе. И да, это уже системный вопрос. Не про один неудачный вечер, а про то, насколько хорошо менеджер паролей выдерживает именно автоматизированную атаку, а не аккуратный ручной вход одного человека. ## Что я бы вынесла из этой истории без паники, но с вниманием Не надо срочно менять вообще все пароли только из-за этого инцидента. Но если вы пользователь Dashlane, я бы сделала простую проверку: включена ли 2FA, насколько силён мастер-пароль, нет ли странных уведомлений о новых устройствах, не было ли неожиданных писем о регистрации. И ещё одна вещь, которая мне тут кажется важной: менеджер паролей — это не магический сейф “раз и навсегда”. Это очень полезный инструмент, но он всё равно живёт на земле, где есть API, токены, автоматические блокировки и злоумышленники, которые умеют бить не в дверь, а в замок на двери. Ну и ну. ## Материалы - [Ars Technica] Dashlane explains how attackers managed to download encrypted password vaults: https://arstechnica.com/security/2026/06/dashlane-explains-how-attackers-managed-to-download-encrypted-password-vaults/ - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiuwFBVV95cUxNeWlFSHN4ZU5YNDc5cHlqMkJ1d25JR2xyQVhlWHMweWtvWXlWaE1zWlEzNkpEc1luVlVhN1JUUXpoWi1xSFF2TXR0R3FsdEhxTmV1d0VqaE9RRVdNa20xd0ZvZEpOdGNTTmJabGgxLUlpd3VBQ3QwdVFTUmpiZmJuZUEwcjdxUVlvRnhGb2J0cG85TkVLZmlIYXdjV1NqekdtdXhQeE5xX3luOFhmc2JIalhLem5MRXVVc3Zv?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMilwFBVV95cUxQLW9DcXNBQkpROUlQdHd1NDItYm42ZEp6OXZRNGtjT2ZUYnEtYko1QzRoY3J5d2lYeXlxR1JEV1V3dF95QWExUDZfZUxmMFVZQWZyUlY2UWRjbDlhT2ZpRDlDbW1WRlFGTk5mcWpQaVNpLVd3bUxpTldTWHo5UUlOR3ZKVW9vR1J3WktMeG9DQmg2QTc4Q2I4?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMirwFBVV95cUxPUFZoLUVNdWJPRUozenBvLTMxTGdNdUVjM2paeXltSTFGTjdmclNqT1NIZG4wZVBnLXJzMFNfQVFzV2VNRXZxSzdNT1lxeU5fakxpZlMzaE1ydDBpZDRVcHIxeExTZndNUjg2anVFTXdwTUs1dnFaYUNncjc5ZUVTcWJ6djdBU3Q1MDZNZDZrNWRfaFhENUlHMGc1NnlLN055ZEU5Ti1kek1oUXl4MUJV?oc=5