A jelszószéfek sem feltétlenül biztonságosak?

Alapvetően azért használunk jelszószéfeket, hogy ne kelljen fejben tartani a jelszavainkat és akár minden alkalmazásunkban egyedi, véletlen generált és "erős" jelszavakat használhassunk. A legfontosabb elvárás a jelszószéffel kapcsolatban, hogy biztonságosan tárolja a jelszavainkat, azokhoz jogosulatlan személyek ne férhessenek hozzá.

De mi történik, ha a jelszószéf nem képes ezt az elvárást teljesíteni?

Most élő példa is van az ilyen szerencsétlen esetre, mégpedig a Clickstudios gyártó Passwordstate alkalmazása, amelyhez a támadók terjeszteni kezdek egy olyan szoftverfrissítési csomagot, amely kártékony kódot tartalmazott. 

Egyenlőre nem teljesen tiszta, hogy pontosan mi történt, feltételezhetően a gyártó frissítési weboldalának kompromittálásával sikerülhetett a kártékony kódot tartalmazó frissítést teríteni a felhasználók között. 

A támadást a dán CIS Group fedezte fel, a kutatók a kártékony kódot Morsepass-nak keresztelték el. 

Akik az érintett időablakban frissítették az alkalmazást, a kártékony kóddal megfertőzött frissítést kapták meg, így a Passwordstate alkalmazásban tárolt hozzáférések kompromittálódhattak. 

A Passwordstate alkalmazást közel 29 ezer szervezet (köztük jónéhány Fortune 500 cég) használja. Szerencsére a közreműködő botnet/CNC hálózatot viszonylag gyorsan lelőtték,  de az eset (a SolarWinds-támadás árnyékában) újabb intő jel lehet arra, hogy a supply chain támadások kockázatait komolyan figyelembe kell venni.