Passwortmanager: Kundendaten von Onelogin gehackt
Die Betreiber des Passwortmanagers und Single-Sign-On-Providers Onelogin haben einen Sicherheitsvorfall bestätigt(öffnet im neuen Fenster) , bei dem offenbar vertrauliche Daten zahlreicher Kunden kompromittiert wurden. Nach Angaben des Unternehmens hatte ein Angreifer am 31. März kurzzeitig Zugriff auf AWS-Schlüssel des Unternehmens.
Mit den Schlüsseln sei es dem oder den Angreifern gelungen, Zugang zu Amazons AWS-Api zu bekommen und darüber Informationen aus der internen Datenbank von Onelogin zu extrahieren. Betroffen sind potentiell alle Kunden, deren Informationen von den US-Servern des Unternehmens versorgt werden. Nach Angaben von Onelogin wurden alle potentiell betroffenen Kunden kontaktiert.
Unverschlüsselte Informationen in der Datenbank
Der Vorfall hat den Angreifern offenbar Zugriff auf von Nutzern verwendeten Apps, Nutzernamen, Stammdaten und "verschiedenen Schlüsseln" verschafft. Onelogin schreibt: "auch wenn wir verschiedene sensitive Daten verschlüsseln, können wir derzeit nicht ausschließen, dass die Angreifer die Möglichkeit erlangt haben, Daten zu entschlüsseln." Das Unternehmen empfiehlt daher, neue Passwörter, OAuth-Tokens und Schlüssel zu generieren. Onelogin hat bislang nicht mitgeteilt, welche Informationen verschlüsselt abgelegt werden und welche nicht.
Von dem Vorfall betroffen sind auch die verschlüsselten Notizen der Nutzer, die von den Angreifern möglicherweise entschlüsselt werden können, wie Zdnet(öffnet im neuen Fenster) schreibt.
Onelogin wird von mehr als 2000 Unternehmen genutzt, um Nutzern einen vereinfachten Zugriff auf Webseiten und Webapplikationen zu bieten. Unter den kompatiblen Diensten finden sich die Amazon Web Services, Microsoft Office 365, Linkedin, Slack, Twitter und Google-Dienste.