Nach Darstellung von Dashlane richtete sich der Angriff gezielt gegen einzelne Nutzerkonten. Der externe Akteur versuchte über zahlreiche automatisierte Anmeldeversuche, die Zwei-Faktor-Authentifizierung auszuhebeln. Gelingt dies, lassen sich auf einem bestehenden Konto neue Geräte registrieren – ein Weg, um den eigentlichen Kontoschutz zu umgehen.
Die schiere Menge der Versuche aktivierte die internen Sicherheitskontrollen des Dienstes. In der Folge kam es zu vorübergehenden Kontosperrungen und Authentifizierungsproblemen bei den betroffenen Nutzern. Wie viele Konten insgesamt angegriffen wurden, kann das Unternehmen nicht beziffern.
In wenigen Fällen waren die Angreifer dennoch erfolgreich: Sie luden Kopien der verschlüsselten Tresore von weniger als 20 Nutzern des persönlichen Tarifs herunter. Betroffene seien direkt benachrichtigt worden, so Dashlane. „Wenn Sie Dashlane nutzen und keine gesonderte Nachricht zu einem Tresor-Risiko erhalten haben, ist Ihr Dashlane-Konto nicht betroffen", erklärte das Unternehmen.
Entscheidend für die Einordnung: Auf die Tresordaten lässt sich ohne das Master-Passwort nicht zugreifen. Solange dieses Passwort nicht trivial und leicht vorhersehbar ist, gilt ein erfolgreiches Knacken des Tresors als unwahrscheinlich. Die internen Systeme von Dashlane wurden nach Angaben des Anbieters durch den Vorfall nicht beeinträchtigt.
Als Vorsichtsmaßnahme empfiehlt Dashlane seinen Nutzern, die mit dem Konto verknüpften Geräte zu überprüfen und nicht erkannte Einträge zu entfernen, die Zwei-Faktor-Authentifizierung zu aktivieren und ein starkes Master-Passwort zu verwenden, das „lang, einzigartig und schwer zu erraten" ist.