Passwortmanager OneLogin gehackt

Die Täter haben für rund sieben Stunden Zugriff auf Daten von Kunden. OneLogin schließt nicht aus, dass die Hacker die Kundeninformationen entschlüsseln können. Offenbar speichert das Unternehmen einige Informationen seiner Kunden sogar unverschlüsselt.

OneLogin, Anbieter des gleichnamigen Passwortmanagers und Anmeldediensts, hat einen Einbruch in seine Computersysteme eingeräumt. Betroffen ist laut einer E-Mail, die das Unternehmen an seine Kunden verschickt, das Rechenzentrum des Unternehmens in den USA. Die unbekannten Täter erbeuten vertrauliche Kundendaten und sind nun möglicherweise in der Lage, Passwörter zu entschlüsseln.

Hacker (Bild: Shutterstock)Der inzwischen gestoppte Angriff begann am Mittwoch gegen 2 Uhr morgens Ortszeit. Mitarbeitern fielen etwa sieben Stunden später ungewöhnliche Datenbankaktivitäten auf. Innerhalb weniger Minuten sei es ihnen gelungen, die betroffenen Instanzen zu beenden.

Die Datenbanken waren demnach auf Servern von Amazon abgelegt. „Unsere Untersuchung hat ergeben, dass sich der Angreifer Zugang zu Schlüssel von Amazon Web Services verschafft hat und sie benutzte, um von einem anderen Host aus auf die AWS API zuzugreifen“, teilte OneLogin mit. „Der Angreifer war in der Lage, auf Datenbank-Tabellen zuzugreifen, die Informationen über Nutzer, Apps und verschiedene Arten von Schlüsseln enthalten.“

„Bestimmte vertrauliche Daten“ würden zwar nur verschlüsselt gespeichert, es könne aber nicht ausgeschlossen werden, dass der Hacker die Möglichkeit erhalten habe, Daten zu entschlüsseln. Welche Daten verschlüsselt waren und welche nicht lies ein Unternehmenssprecher offen. Unklar ist auch, wie viele Nutzer betroffen sind.

Seine Kunden forderte OneLogin nun auf, ihre Passwörter zu ändern, neue API-Schlüssel und auch neue OAuth-Tokens und Sicherheitszertifikate zu generieren. Auch Informationen, die in der Funktion Secure Notes hinterlegt seien, die von IT-Administratoren zu Speicherung von Netzwerkkennwörtern benutzt werden soll, könnten möglicherweise entschlüsselt werden.

Seiner Website zufolge zählt OneLogin unter anderem ARM, Dun & Breadstreet, The Carlyle Group, Conde Nast und Dropbox zu seinen Kunden – letzteres ließ jegliche Geschäftsbeziehungen zu OneLogin jedoch durch einen Sprecher dementieren. Der Single-Sign-On Dienst von OneLogin integriert Apps und Dienste von Anbietern wie Amazon Web Services, Microsoft Office 365, LinkedIn, Slack, Twitter und Google.

Es ist nicht das erste Mal, dass OneLogin Opfer eines Hackerangriffs wurde. Im August 2016 warnte das Unternehmen vor einem nicht autorisierten Zugriff auf den Secure-Notes-Dienst. Zu dem Zeitpunkt bestritt OneLogin jedoch den Verlust von Kundendaten.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Authentifizierung, Datendiebstahl, Hacker, OneLogin, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Passwortmanager OneLogin gehackt

Kommentar hinzufügen
  • Am 2. Juni 2017 um 10:57 von Frank Furter

    Und wieder einmal: Bequemlichkeit und Sicherheit passen nicht zueinander!

    Entweder ich habe es sicher, dann muss ich auf Bequemlichkeiten verzichten
    oder
    ich habe es bequem, dann habe ich keine Sicherheit.

    Daran hat sich in den letzten 30 Jahren nichts geändert.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *