Gestor de contraseñas Dashlane confirma descarga de bóvedas cifradas tras ataque coordinado a usuarios

Qué pasó

Dashlane, proveedor internacional de software de gestión de contraseñas, reveló que durante el pasado domingo se inició una campaña de ciberataque dirigida a una proporción significativa de su base de usuarios. El actor de amenaza, cuya identidad aún no ha sido establecida, abusó del mecanismo que permite a los usuarios registrar nuevos dispositivos —tales como computadores o teléfonos— en sus cuentas existentes.

La operación consistió en el envío automatizado de solicitudes masivas a las direcciones de correo electrónico registradas por los usuarios, empleando los endpoints de la interfaz de programación (API) destinados al enrolamiento de dispositivos. Según explicó la propia compañía en un comunicado publicado el jueves, los atacantes ejecutaron un ataque de fuerza bruta con el objetivo de iterar a través del universo de códigos de verificación de seis dígitos enviados por correo electrónico o, en su defecto, generados por aplicaciones de autenticación de segundo factor.

Los sistemas automatizados de seguridad de Dashlane operaron conforme a su diseño, lo que provocó el bloqueo automático de las cuentas afectadas. Sin embargo, antes de que la mitigación fuera completa, los atacantes lograron generar tokens válidos para menos de veinte cuentas correspondientes al plan personal, lo que les permitió registrar un nuevo dispositivo y descargar copias de las bóvedas cifradas de esos usuarios.

El mecanismo de ataque se sustenta en una ventana de tres horas durante la cual los códigos de un solo uso permanecen vigentes, junto con un universo de aproximadamente un millón de combinaciones posibles. Si bien el cifrado protege el contenido de las bóvedas, este solo puede ser descifrado mediante la contraseña maestra del usuario legítimo, lo que mantiene la integridad de la información descargada.

Contexto

El incidente se produce en un contexto de creciente sofisticación de los ataques dirigidos a proveedores de servicios de identidad y gestión credenciales, un sector que ha ganado relevancia estratégica ante la expansión del trabajo remoto y la adopción masiva de aplicaciones en la nube. Los gestores de contraseñas concentran información altamente sensible, lo que los convierte en objetivos prioritarios para actores maliciosos que buscan comprometer identidades digitales a escala.

La técnica de fuerza bruta sobre códigos de un solo uso representa un vector de ataque conocido pero de difícil ejecución cuando se implementan controles de limitación de velocidad, también conocidos como rate limiting. En este caso, la efectividad del ataque se explica por la distribución masiva de solicitudes a un volumen elevado de cuentas, incrementando la probabilidad estadística de obtener al menos algunas coincidencias válidas dentro de la ventana temporal de tres horas.

Expertos en ciberseguridad consultados por publicaciones especializadas han señalado que este tipo de campañas suelen formar parte de operaciones más amplias de reconocimiento, donde los atacantes recolectan bóvedas cifradas para intentar descifrarlas posteriormente mediante técnicas de cracking offline, especialmente si los usuarios utilizan contraseñas maestras débiles. El episodio pone de relieve la tensión permanente entre la experiencia de usuario, que demanda procesos de verificación ágiles, y la necesidad de implementar controles de seguridad robustos.

Impacto para empresas chilenas

Para el ecosistema empresarial chileno, este incidente constituye una alerta relevante respecto a la dependencia de proveedores internacionales de servicios críticos de ciberseguridad. Numerosas empresas, incluyendo pymes que han acelerado su transformación digital, utilizan gestores de contraseñas como parte de sus políticas de protección de credenciales corporativas. Si bien Dashlane no especificó si cuentas corporativas o de planes de negocios se vieron comprometidas, la metodología del ataque ilustra vulnerabilidades que pueden replicarse en otros servicios con arquitecturas similares.

Las compañías chilenas que operan en sectores regulados —tales como servicios financieros, salud o retail— deben evaluar los procedimientos de respuesta de sus proveedores frente a incidentes de seguridad, incluyendo los tiempos de notificación, la transparencia en la comunicación y los mecanismos de mitigación. La normativa local, en línea con la Ley 19.628 sobre protección de datos personales y los marcos sectoriales emitidos por la Comisión para el Mercado Financiero, exige a las organizaciones implementar medidas técnicas y organizativas proporcionales al riesgo.

Adicionalmente, el caso refuerza la recomendación de adoptar autenticación de múltiples factores robusta, utilizar contraseñas maestras de alta entropía y mantener procedimientos de monitoreo de accesos anómalos. Para las pymes que carecen de equipos internos de ciberseguridad, el episodio subraya la conveniencia de apoyarse en socios tecnológicos con capacidad de respuesta comprobada y de revisar periódicamente las configuraciones de seguridad de las herramientas desplegadas.

Qué sigue

Dashlane ha indicado que continuará investigando el incidente y entregando notificaciones a los usuarios afectados. Se espera que la compañía refuerce los mecanismos de rate limiting y explore la implementación de validaciones adicionales en el proceso de enrolamiento de dispositivos, tales como períodos de espera o verificaciones biométricas.

El episodio probablemente motive a otros proveedores del sector a revisar sus propias arquitecturas de seguridad, en un momento en que la industria de gestión de credenciales enfrenta una presión creciente para demostrar resiliencia frente a campañas de ataque cada vez más sofisticadas y coordinadas a nivel global.