Aproximativ 25 de atacuri de recuperare a parolelor descoperite de experții în securitate cibernetică, potrivit unui studiu în domeniu

Un studiu academic publicat în februarie 2026 arată că mai mulți manageri populari de parole din cloud pot fi vulnerabili la atacuri de recuperare a parolelor în anumite condiții. Cercetarea identifică 25 de scenarii distincte care vizează Bitwarden, LastPass și Dashlane.

Analiza a fost realizată de cercetători de la ETH Zurich și Università della Svizzera italiana, care au evaluat promisiunile de securitate bazate pe criptare de tip „zero-knowledge” (ZKE), scrie The Hacker News.

Potrivit autorilor, majoritatea atacurilor identificate ar putea permite recuperarea parolelor, iar unele pot duce chiar la compromiterea completă a tuturor seifurilor digitale (vault-uri) din cadrul unei organizații.

Ce este criptarea „zero-knowledge” și unde apar problemele

Modelul zero-knowledge presupune că furnizorul serviciului nu are acces la datele utilizatorilor, acestea fiind stocate într-o formă criptată care poate fi deblocată doar cu cheia deținută de utilizator.

Conceptul diferă de criptarea end-to-end (E2EE), care protejează datele în tranzit, în timp ce ZKE vizează în special stocarea sigură a informațiilor.

Cercetătorii au analizat scenariul unui server malițios, adică ipoteza în care infrastructura furnizorului este compromisă sau acționează în mod abuziv.

În acest context, au fost descoperite 12 atacuri distincte împotriva Bitwarden, șapte împotriva LastPass și șase împotriva Dashlane. Împreună, aceste servicii deservesc peste 60 de milioane de utilizatori și aproximativ 125.000 de companii.

Vezi și:

Cum redefinim expertiza în securitate cibernetică într-o eră dominată de AI

Primul război mondial cibernetic se duce deja fără tancuri, doar cu pixeli și cod. Cum se atacă pe frontul digital China, Rusia, SUA, Iranul și Coreea de Nord

Vulnerabilitățile identificate sunt grupate în patru categorii principale:

• Exploatarea mecanismelor de recuperare a contului de tip „key escrow”, care pot afecta confidențialitatea.
• Probleme legate de criptarea la nivel de element (item-level encryption), unde metadatele necriptate sau neautentificate pot permite manipularea informațiilor.
• Exploatarea funcțiilor de partajare pentru a afecta integritatea și confidențialitatea vault-urilor.
• Atacuri de tip downgrade, generate de compatibilitatea cu metode criptografice vechi.

Reacția companiilor: care sunt măsurile luate, de fapt

Studiul menționează și 1Password, care ar fi vulnerabil la unele atacuri privind criptarea la nivel de element și funcțiile de partajare.

Compania a transmis însă că aceste aspecte țin de limitări arhitecturale deja documentate public și că nu au fost identificate vectori de atac noi față de documentația existentă.

Reprezentanții 1Password au subliniat utilizarea protocolului Secure Remote Password (SRP), care permite autentificarea fără transmiterea cheilor de criptare către servere, reducând riscul anumitor atacuri server-side.

În ceea ce privește celelalte servicii, toate au anunțat măsuri de atenuare a riscurilor. Dashlane a confirmat că a eliminat suportul pentru metode criptografice vechi în versiunea 6.2544.1 a extensiei sale, lansată în noiembrie 2025, pentru a preveni atacuri de tip downgrade ce ar putea compromite parole master slabe.

Bitwarden a declarat că majoritatea problemelor identificate sunt deja remediate sau în curs de remediere, iar o parte dintre ele reprezintă decizii de design considerate necesare pentru funcționalitatea produsului.

La rândul său, LastPass a anunțat că lucrează la consolidarea garanțiilor de integritate criptografică pentru a lega mai strict elementele, câmpurile și metadatele din vault-uri.

Până în prezent, nu există dovezi că aceste vulnerabilități ar fi fost exploatate în atacuri reale. Totuși, studiul evidențiază complexitatea implementării corecte a criptării zero-knowledge și necesitatea evaluării constante a arhitecturii de securitate, mai ales în scenarii în care serverul nu poate fi considerat implicit de încredere.

Nici sare, nici gheață. Metoda sigură pentru a congela o bere în doar 15 minute