Poucos dias após o incidente, a empresa por trás do software informou que o alerta de alteração de senha do 1Password não foi uma violação.
A 1Password diz que um incidente recente que fez com que os clientes recebessem notificações sobre senhas alteradas foi resultado da interrupção do serviço e não de uma violação de segurança.
Alerta de alteração de senha do 1Password não foi uma violação
A empresa revelou pela primeira vez em um relatório de incidente há cinco dias que as notificações eram errôneas e vinculadas à manutenção de rotina do banco de dados agendada para quinta-feira, 27 de abril.
Agora, o diretor de tecnologia (CTO) da 1Password, Pedro Canahuati, forneceu mais detalhes e disse que as informações dos clientes não foram afetadas.
“Em 27 de abril, entre 21h03 e 21h26 ET, o 1Password sofreu uma breve interrupção do serviço. Não foi um incidente de segurança e os dados do cliente não foram afetados de forma alguma”, disse Canahuati.
“Os aplicativos cliente exibiram uma mensagem incorreta informando: Sua chave secreta ou senha foi alterada recentemente. Insira os detalhes da sua nova conta para continuar.”
No entanto, como explicou Canahuati, isso não aconteceu. Os alertas errôneos foram acionados pelos servidores do 1Password nos EUA, respondendo a um pico de solicitações de sincronização após a migração de bancos de dados de back-end com rejeições de login.
Os aplicativos cliente interpretaram o código de erro enviado dos servidores incorretamente e exibiram os alertas de alteração de senha incorreta nos dispositivos dos clientes na região dos Estados Unidos.
No entanto, esses alertas não passaram despercebidos, com os usuários do 1Passwords preocupados que suas contas fossem invadidas ou que a empresa sofresse um incidente de segurança.
O tráfego no ambiente do 1Password nos EUA voltou ao normal às 21h26 ET de 27 de abril, sem nenhuma tentativa adicional de login com falha detectada.
Em 28 de abril, nenhuma mensagem incorreta adicional apareceu durante o monitoramento da integridade do serviço, e as correções foram confirmadas como funcionando conforme o esperado.
Embora a empresa não tenha mencionado isso, esta não foi a primeira vez que esses erros apareceram nos dispositivos dos usuários, com alguns relatórios desde dezembro de 2022, embora eles nunca tenham alterado sua chave secreta ou senhas.
Na época, os membros da equipe do 1Password orientaram os clientes afetados a entrar em contato com a equipe de suporte da empresa para fornecer mais detalhes para que o problema pudesse ser investigado.
Como nenhuma outra atualização do 1Password foi adicionada, as instâncias anteriores de tais notificações exibidas provavelmente estavam ligadas a incidentes menores que afetavam um número muito menor de clientes.
Canahuati acrescentou hoje que o 1Password usaria os dados coletados durante o incidente da semana passada para entender a causa raiz e melhorar os processos de migração de banco de dados e tratamento de erros.
“Levamos muito a sério a integridade de seus dados e a estabilidade de nossos sistemas e continuaremos a trabalhar duro todos os dias para merecer a confiança que você depositou em nós”, disse Canahuati.
