Se ha enemigo que muchos administradores de contraseñas son vulnerables a una forma específica de ataque. La técnica que los hackers están utilizando se apasionamiento clickjacking.

¿Qué es clickjacking?

Clickjacking es un método en el que un atacante crea una página web maliciosa que contiene iframes invisibles y lo oculta directamente en el interior de un sitio web objetivo. Cuando los usuarios hacen clic en las cosas en la página, estos clics son interceptados por el iframe oculto y hacen poco más, por ejemplo, diferentes acciones en el sitio web. Este no es un método nuevo en tajante.

Por ejemplo, una página web puede mostrar un mensaje de consentimiento de cookies, pidiéndole al becario que haga clic en los recadero de rebotar o aceptar. Sin bloqueo, el aspecto iframe podría contener un formulario de inicio de sesión que desencadena una extensión de navegador de un administrador de contraseñas para afrontar las credenciales. Esto podría resultar en que el atacante obtenga el nombre de becario y la contraseña del becario.

Los usuarios no tendrán idea de que las cosas han saledizo mal, pero esta vulnerabilidad podría permitir a los atacantes robar detalles de la plástico de crédito, datos personales, credenciales de inicio de sesión, incluidos TOTP, etc.

Marek Tóth, investigador de seguridad de la República Checa, descubrió una serie de sin parches Lagunas de seguridad que los piratas informáticos podrían explotar para ejecutar ataques de clickjacking de extensión del navegador que están basados ​​en iframe y basados ​​en DOM. Los sitios web que son vulnerables podrían ser propensos a XSS, adquisición de subdominios, envenenamiento por gusto web, etc. podrían dar ocasión a robo de credenciales, códigos de 2FA e incluso veras pasas.

Impacto de datos

• Polímero de crédito: número de plástico de crédito, data de vencimiento, código de seguridad
• Datos personales: nombre, correo electrónico, teléfono, dirección, data de principio (algunos administradores de contraseñas)
• Credenciales de inicio de sesión: nombre de becario, contraseña, TOTP (2FA)
• PassKeys – Secuestro de afirmación firmada (secuestro de flujo de autenticación) = Creación de una nueva sesión

El problema afectó a varios servicios de administrador de contraseñas, incluidos

• 1 paso de paso
• Bitwarden
• Dashlane
• Encasarse
• contraseñas de iCloud
• Cuidador
• Postrero paso
• Logmeonce
• Nordpass
• Paso de protón
• Abooform

A pesar de la divulgación de Tóth y la prueba de conceptos que están disponibles públicamente, los servicios de Password Manager se están tomando su propio tiempo para arreglar las vulnerabilidades. Según los informes, 1Password y LastPass marcaron el documentación como informativo, pero no han solucionado las exploits. Según los informes, incluso Bitwarden tardó 4 meses en parcharlos.

Dashlane, Keeper, Nordpass, ProtonPass y RoboForm han solucionado los problemas. Compañía de ciberseguridad, Socket, informes Ese BitWarden ha enviado una posibilidad para la vulnerabilidad de Clickjacking en su traducción 2025.8.0 (fechado el 20 de agosto). Sin bloqueo, puede tomar uno o dos días para que la modernización esté arreglado en las tiendas complementarias del navegador.

Se recomienda a los usuarios que deshabiliten la autocomplancia manual en sus extensiones de Administrador de contraseñas, por otra parte de esto, puede configurarlo para usar solo una coincidencia de URL exacta para el enfoque involuntario, pero vale la pena señalar que esto aún puede dar como resultado datos de tarjetas de crédito y datos personales para ser explotados. Los navegadores basados ​​en el cromo pueden cambiar la configuración de extensión> Llegada al sitio> “En clic”. Actualice su administrador de contraseñas y su extensión del navegador a la última traducción para proteger sus datos y credenciales.

Aquí hay un Hilo en los foros de la comunidad de Bitwarden Eso discute los problemas asociados con Clickjacking. Bitwarden recomienda usar métodos alternativos para la autoestima, como usar el grupo de teclado, la extensión del navegador o el menú de clic derecho, o tirar y guatar.

En una nota al beneficio, muchos Los usuarios de Bitwarden informan intentos de ataque no autorizados repetidos en su cuenta. No hay evidencia que sugiera que esto esté relacionado con el clickjacking. La explicación más probable es que los piratas informáticos obtuvieron un correo electrónico y contraseñas filtrados, y están tratando de brutarse para que se abran paso en torno a las cosas, incluido Bitwarden. Todavía hay informes de que 2FA fue derivado en algunas cuentas, me averiguo si tiene poco para la violación de Authy durante el año pasado.

Como siempre, esta es mi recomendación para lo que considero el administrador de contraseñas más seguro. Echar un vistazo a Conservaes un administrador de contraseñas de código hendido de balde que está arreglado para Windows. Tiene muchas horquillas para otros sistemas operativos. Puedo objetar para KeepAssXC en Linux y MacOS, KeepAssium en iOS/iPados/macOS, y la contraseña de KeepAss2Android segura en Android. Incluso si prefiere un administrador de contraseñas basado en la cúmulo, le recomiendo exportar una copia de sus credenciales a Keepass, puede ser útil cuando su aplicación en la cúmulo está fuera de cadeneta o en caso de que desee eliminar la cuenta de la cúmulo.

Gracias por ser un conferenciante de Ghacks. La explotación de clickjacking post cero impacta varios administradores de contraseñas aparecieron primero en Ghacks Technology News.