LastPass myöntää aiemman tietomurron aiheuttaman asiakastietomurron

Elokuussa 2022 suosittu salasananhallintayritys LastPass myönsi tietomurto.

Yritys, jonka omistaa ohjelmisto-as-a-service -liiketoiminta GoTo, joka ennen oli LogMeIn, julkaisi erittäin lyhyen, mutta kuitenkin hyödyllisen raportti tapauksesta noin kuukauden kuluttua:

Lyhyesti sanottuna LastPass totesi, että hyökkääjät onnistuivat istuttamaan haittaohjelmia kehittäjän tietokoneeseen.

Kun tietokoneessa oli rantapää, näyttää siltä, ​​että hyökkääjät pystyivät odottamaan, kunnes kehittäjä oli käynyt läpi LastPassin todennusprosessin, mukaan lukien kaikki tarvittavat monivaiheiset todennustiedot, ja sitten "tagate" ne yrityksen kehitysjärjestelmiin.

LastPass väitti, että kehittäjän tili ei ollut antanut rikollisille pääsyä asiakastietoihin tai kenenkään salattuihin salasanavarastoihin.

Yritys myönsi kuitenkin, että roistot olivat päässeet pois LastPassin omistusoikeudellisista tiedoista, erityisesti "osa lähdekoodistamme ja teknisistä tiedoistamme", ja että roistot olivat verkossa neljä päivää ennen kuin heidät havaittiin ja potkittiin ulos.

LastPassin mukaan yrityksen palvelimille varmuuskopioituja asiakkaiden salasanoja ei ole koskaan olemassa salauksen purkamisessa pilvessä. Pääsalasana, jota käytetään tallennettujen salasanojesi salauksen purkamiseen, pyydetään ja sitä käytetään vain omien laitteidesi muistissa. Siksi kaikki pilveen tallennetut salasanat salataan ennen niiden lataamista ja puretaan uudelleen vasta sen jälkeen, kun ne on ladattu. Toisin sanoen, vaikka salasanavaraston tiedot olisi varastettu, ne olisivat joka tapauksessa olleet käsittämättömiä.

Uusimmat tapahtumat

Heti marraskuun 2022 lopussa kuitenkin LastPass myönsi edelleen että tarinassa oli vähän enemmän kuin he ehkä toivoivat.

Mukaan tietoturvatiedotteen päivätty 2022, hyökkääjät murtautuivat äskettäin uudelleen yritykseen "käytetään elokuun 2022 tapauksesta saatuja tietoja", ja tällä kertaa asiakastiedot varastettiin.

Toisin sanoen, vaikka rikolliset eivät pystyneet kaivamaan ympäriinsä asiakasrekistereissä suoraan elokuussa haittaohjelmatartunnan saaneen kehittäjän tililtä näyttää siltä, ​​että roistot tekivät kuitenkin sisäisiä yksityiskohtia, jotka epäsuorasti antoi heille tai henkilölle, jolle he myivät tietoja, pääsyn asiakastietoihin myöhemmin.

Valitettavasti LastPass ei vielä anna mitään tietoa siitä, millaisia ​​asiakastietoja varastettiin, vaan raportoi yksinkertaisesti, että se on "työskennellä ahkerasti ymmärtääkseen tapahtuman laajuuden ja selvittääkseen, mitä tietoja on käsitelty".

LastPass voi sanoa varmasti juuri nyt [2022-12-01-T23:30Z], on toistaa, että "[Asiakkaidemme salasanat pysyvät turvallisesti salattuina LastPassin Zero Knowledge -arkkitehtuurin ansiosta."

(Nolla tietämystä on jargon termi, joka kuvastaa sitä tosiasiaa, että vaikka LastPass säilyttää jonkinlaista tietoa asiakkaidensa salasanavarastoissa, sillä ei ole tietoa siitä, mihin kyseiset tiedot todellisuudessa viittaavat, tai edes koostuvatko ne tilinimistä ja salasanoista ollenkaan.)

Lyhyesti sanottuna, vaikka lopulta kävisi ilmi, että roistot ovat saattaneet tehdä henkilökohtaisia ​​tietoja, kuten kotiosoitteita, puhelinnumeroita ja maksukorttitietoja (vaikka toivomme, että näin ei tietenkään ole), salasanasi ovat silti yhtä turvallisia kuin alunperin itsellesi valitsemasi pääsalasana, jota LastPassin pilvipalvelut eivät koskaan kysy, saati sitten säilyttää kopioita.

Mitä tehdä?

• Jos olet LastPass-asiakas, Suosittelemme, että pidät silmällä yrityksen tietoturvahäiriöraporttia päivityksiä varten.
• Jos olet kyberturvallisuuden puolustaja, miksei kuuntele asiantuntija-apua Sophosin kyberturvallisuustutkija Chester Wisniewski, kuinka voit suojata omaa IT-kiinteistösi tältä rantapäähän-ja-mennä-hyökkäyksiltä?

Alla olevassa podcastissa (on a täydellinen tekstitys jos haluat mieluummin lukea kuin kuunnella), Chester keskustelee a vastaavanlainen rikkomus joka tapahtui syyskuussa 2022 kyytipalveluyrityksessä Uberissa, ja muistuttaa sinua, miksi "hajoita ja hallitse", joka tunnetaan myös ammattikieltä. nolla luottamus, on tärkeä osa nykyaikaista kyberpuolustusta.

Kuten Chester selittää, vaikka kaikki rikkomukset aiheuttavat jonkin verran haittaa mainellesi tai tuloksellesi, lopputulos on väistämättä paljon huonompi, jos roistot pääsevät käsiksi jonkin verran verkkosi jäsenet voivat vaeltaa missä tahansa, kunnes he saavat pääsyn verkkoon kaikki sitä.