Passwortmanager: Kundendaten von Onelogin gehackt

Ein Passwortmanager soll Nutzern helfen, sichere Passwörter zu generieren und sicher zu speichern. Bei dem Betreiber Onelogin wurden jedoch zahlreiche Informationen von Nutzern durch Angreifer kompromittiert, wie das Unternehmen selbst mitteilt.

Artikel veröffentlicht am ,
Kunden von Onelogin sollten prüfen, ob sie von dem Unternehmen kontaktiert wurden.
Kunden von Onelogin sollten prüfen, ob sie von dem Unternehmen kontaktiert wurden. (Bild: Pawel Kopczynski/Reuters)

Die Betreiber des Passwortmanagers und Single-Sign-On-Providers Onelogin haben einen Sicherheitsvorfall bestätigt, bei dem offenbar vertrauliche Daten zahlreicher Kunden kompromittiert wurden. Nach Angaben des Unternehmens hatte ein Angreifer am 31. März kurzzeitig Zugriff auf AWS-Schlüssel des Unternehmens.

Stellenmarkt
  1. Wissenschaftlicher Mitarbeiter (m/w/d) für den Bereich Elektrotechnik / Angewandte Informatik
    THD - Technische Hochschule Deggendorf, Freyung
  2. IT-Unternehmensarchitekt*in
    GASAG AG, Berlin
Detailsuche

Mit den Schlüsseln sei es dem oder den Angreifern gelungen, Zugang zu Amazons AWS-Api zu bekommen und darüber Informationen aus der internen Datenbank von Onelogin zu extrahieren. Betroffen sind potentiell alle Kunden, deren Informationen von den US-Servern des Unternehmens versorgt werden. Nach Angaben von Onelogin wurden alle potentiell betroffenen Kunden kontaktiert.

Unverschlüsselte Informationen in der Datenbank

Der Vorfall hat den Angreifern offenbar Zugriff auf von Nutzern verwendeten Apps, Nutzernamen, Stammdaten und "verschiedenen Schlüsseln" verschafft. Onelogin schreibt: "auch wenn wir verschiedene sensitive Daten verschlüsseln, können wir derzeit nicht ausschließen, dass die Angreifer die Möglichkeit erlangt haben, Daten zu entschlüsseln." Das Unternehmen empfiehlt daher, neue Passwörter, OAuth-Tokens und Schlüssel zu generieren. Onelogin hat bislang nicht mitgeteilt, welche Informationen verschlüsselt abgelegt werden und welche nicht.

Von dem Vorfall betroffen sind auch die verschlüsselten Notizen der Nutzer, die von den Angreifern möglicherweise entschlüsselt werden können, wie Zdnet schreibt.

Golem Akademie
  1. Cloud Computing mit Amazon Web Services (AWS)
    18.-20. Oktober 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
Weitere IT-Trainings

Onelogin wird von mehr als 2000 Unternehmen genutzt, um Nutzern einen vereinfachten Zugriff auf Webseiten und Webapplikationen zu bieten. Unter den kompatiblen Diensten finden sich die Amazon Web Services, Microsoft Office 365, Linkedin, Slack, Twitter und Google-Dienste.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
DIY-Projekt
Lasst uns einen Open-Source-E-Ink-Laptop bauen!

Augenschonende Displays wie die von E-Ink sind bislang kaum verbreitet. Deshalb würde ich gerne selbst einen Laptop mit E-Ink-Display bauen.
Von Alexander Soto

DIY-Projekt: Lasst uns einen Open-Source-E-Ink-Laptop bauen!
Artikel
  1. In eigener Sache: Wie geht es IT-Fachleuten nach über einem Jahr Corona?
    In eigener Sache
    Wie geht es IT-Fachleuten nach über einem Jahr Corona?

    Selten hat ein Ereignis die Arbeit so verändert wie Corona. Golem.de möchte von dir wissen, was das für dich bedeutet. Bitte nimm an der Umfrage teil - es dauert nicht lange!

  2. Tablet: Reinkstone stellt Tablet mit farbigem E-Paper-Display vor
    Tablet
    Reinkstone stellt Tablet mit farbigem E-Paper-Display vor

    Bisher waren die Farben auf E-Paper-Displays eher blass. Das soll bei diesem Tablet anders sein.

  3. iOS-Kalender missbraucht: Apple reagiert auf iPhone-Kalender-Spam
    iOS-Kalender missbraucht
    Apple reagiert auf iPhone-Kalender-Spam

    Mit Kalender-Spam haben derzeit vermehrt iPhone-Nutzer zu kämpfen. Sie fallen auf Kalenderabos herein. Apple klärt nun auf.

Cystasy 05. Jun 2017

Sollte der Email Account gehackt werden, kannst du dich eigendlich gleich begraben. Mit...

Cystasy 04. Jun 2017

Das die Behörden den Entwickler / Anbieter des Passwordmanagers zur herausgabe von Daten...

masel99 03. Jun 2017

Schau dir mal das Keepass-Plugin KeepassHttp und das Browseraddon PassIFox an.

Trockenobst 03. Jun 2017

Es dauert drei Tage eine Infrastruktur nach Schema F zu skizzieren, die für solche...

blood32 03. Jun 2017

weil danach haben sie eh keine geheimen Daten mehr


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • MSI Optix MAG272CQR Curved WQHD 165Hz 309€ • 6 Blu-rays für 30€ • be quiet Dark Base 700 Tower 124,90€ • HTC Vive Cosmos inkl. 2 Controller 599,90€ • Game of Thrones TV Box Set 4K 149,97€ • Landwirtschafts-Simulator 22 39,99€ • Dualsense Black + R&C Rift Apart 99,99€ [Werbung]
    •  /