Internetbedrijf OneLogin heeft klanten gewaarschuwd dat hun beveiligde notities door een hacker zijn ingezien die toegang tot een systeem wist te krijgen. OneLogin is de ontwikkelaar van de gelijknamige dienst, die single sign-on en identiteitsmanagement voor cloud-applicaties biedt.

De dienst beschikt ook over een feature genaamd Secure Notes, waarbij gebruikers hun gevoelige informatie versleuteld in een systeem van het bedrijf kunnen opslaan. Door een fout in de software waren de notities in het loggingsysteem zichtbaar voordat ze werden versleuteld en in de database opgeslagen. Daarnaast blijkt dat een aanvaller toegang tot het loggingsysteem heeft gekregen door het wachtwoord van een OneLogin-medewerker te achterhalen, zo heeft het internetbedrijf bekendgemaakt.

Hoe het wachtwoord van de medewerker kon worden achterhaald, of dit bijvoorbeeld via phishing is gedaan, er een eenvoudig te raden wachtwoord werd gebruikt of dat de medewerker het wachtwoord ook op andere websites gebruikte, laat OneLogin niet weten. Volgens het bedrijf zou de aanvaller van 2 juli dit jaar tot 25 augustus toegang tot het systeem hebben gehad. Klanten moeten er dan ook van uitgaan dat alle beveiligde notities die in deze periode zijn geupload door de aanvaller zijn ingezien en als gecompromitteerd moeten worden beschouwd.