Gerenciador de senhas OneLogin é hackeado e expõe dados de milhares de usuários

De acordo com informações divulgadas nesta quarta-feira (31) em seu blog oficial, o serviço de gerenciamento de senhas OneLogin foi vítima de um ataque hacker.

Na publicação, o diretor de segurança da empresa, Alvaro Hoyos, afirmou estar ciente do acesso não autorizado aos dados do OneLogin nos servidores dos EUA e que os respectivos clientes afetados foram notificados. Além disso, Hoyos informou que o acesso aos dados foi bloqueado e que a empresa está trabalhando com especialistas para investigar o ocorrido, notificando-o também às autoridades.

As informações sobre o ataque divulgadas no blog oficial da OneLogin são muito vagas, não especificando se realmente houve a exposição de informações dos clientes ou não. Entretanto, o ZDNet reportou que a empresa de gerenciamento de senhas enviou um e-mail a todos os seus clientes alegando que "os dados sensíveis da companhia foram potencialmente comprometidos".

Método de ataque

Apesar de não detalhar o que exatamente aconteceu com os dados obtidos pelo cracker, a OneLogin detalhou como ocorreu o acesso indevido. "Nossa revisão mostrou que o autor do ataque obteve acesso a um conjunto de chaves, que foram utilizadas para acessar a API da AWS (Amazon Web Services) de um host intermediário com outro prestador de serviços".

Ainda de acordo com as informações da empresa, evidências mostram que os ataques foram iniciados em 31 de maio, por volta das 6h da manhã, horário de Brasília, mas a equipe de segurança só foi alertada sete horas depois do ocorrido, desligando a instância afetada e desabilitando as chaves AWS que foram utilizadas para obter o acesso não autorizado.

Com isso, o hacker foi capaz de acessar tabelas de banco de dados que contêm informações sobre usuários, aplicações e diversos tipos de chaves. A empresa também acrescentou que, embora todos os dados sejam criptografados, não há garantias de que eles não foram acessados pelo criminoso.

Consequências graves

Apesar de a empresa não ter divulgado quais clientes foram afetados, as consequências da invasão podem ser catastróficas, uma vez que grandes companhias norte-americanas utilizam o serviço de gerenciamento de senhas com um login único para acessar diferentes serviços corporativos.

De acordo com o site CrunchBase, gigantes multinacionais como ARM, Dun & Bradstreet, The Carlyle Group, Conde Nast, Dropbox e outras 2 mil companhias fazem parte da lista de clientes da OneLogin.

O gerenciador de senhas possui integração com diversos aplicativos web, tais como Amazon Web Services, serviços do Office 365, LinkedIn, Slack, Twitter e Google.

Fonte: OneLogin (blog), ZDNET, CrunchBase