Dashlane发布模糊警告：20个加密密码库被盗

# Dashlane 发布模糊安全公告，警告 20 个加密密码库被盗 来源：https://arstechnica.com/security/2026/06/dashlane-issues-opaque-advisory-warning-20-encrypted-vaults-were-stored/ 星期一，密码管理器 Dashlane 发布了一则安全公告，警告称攻击者成功获取了 20 个加密的用户密码库。这则公告中有很多内容令人费解。 “从 2026 年 5 月 31 日（星期日）开始，一个外部方对某些 Dashlane 用户账户发起了暴力破解攻击。”该公司表示（https://support.dashlane.com/hc/en-us/articles/36038764990866-Security-advisory-Brute-force-attack-on-Dashlane-user-accounts）。“此次攻击的目标是暴力破解双因素认证（2FA）保护，以便攻击者能在现有用户账户上注册新设备。” ## 喂，Dashlane，有人在吗？ 一位收到此类 2FA 请求的 Dashlane 用户提供了这张通知截图，该通知于星期日收到。 [](https://cdn.arstechnica.net/wp-content/uploads/2026/06/dashlane-notification.jpg) 这位来自英国的用户感到担忧，并通过支持机器人联系了 Dashlane。最终，该用户未能获得任何关于为何发送该通知的信息。 “然后（我）是从 Mastodon 的信息安全社区发现这条消息的，而不是 Dashlane 告诉我的。”该用户告诉我。“目前正在试图弄清楚发生了什么！因为如果你没有密码，怎么可能触发 2fa 请求呢？作为付费用户，我认为我应该从 Dashlane 那里得知此事，而不是从 Mastodon 信息安全圈的人那里。” 社交媒体上有大量讨论，充满了用户的类似评论，他们也不理解这次攻击的基本机制。通常，2FA 保护的形式是由认证应用生成的一次性密码，或通过短信或电子邮件发送。这些密码通常是六位数，每隔约 45 秒变化一次，尽管如上方的通知所示，该代码的有效期为三小时。 暴力破解是一种试错方法，快速提交所有可能的组合，直到找到正确的一个。基于这些假设，有 100 万个可能的密码。成功突破需要在这三小时内输入其中相当比例的组合。 短时间内向 Dashlane 服务器发送如此大量的猜测所需的资源是可能的，但在常见的暴力破解攻击中并不常见。Dashlane 没有明确表示它对用户提交次数设置了速率限制，但根据公告中的措辞，似乎很可能设置了限制：“由于用户账户上的尝试量很大，Dashlane 的安全控制自动锁定了受到攻击的账户。”即使假设没有速率限制，也很难想象 Dashlane 服务器在一小时内接收 15 万次或更多提交时不会至少暂时卡顿。