लास्टपास पिछले उल्लंघन के कारण ग्राहक डेटा उल्लंघन को स्वीकार करता है

अगस्त 2022 में वापस, लोकप्रिय पासवर्ड मैनेजर कंपनी लास्टपास भर्ती कराया एक डेटा उल्लंघन।

कंपनी, जिसका स्वामित्व सॉफ़्टवेयर-एज़-ए-सर्विस व्यवसाय GoTo के पास है, जो कभी LogMeIn हुआ करता था, ने एक बहुत ही संक्षिप्त लेकिन फिर भी उपयोगी सामग्री प्रकाशित की रिपोर्ट लगभग एक महीने बाद उस घटना के बारे में:

संक्षेप में, लास्टपास ने निष्कर्ष निकाला कि हमलावर एक डेवलपर के कंप्यूटर पर मैलवेयर लगाने में कामयाब रहे।

उस कंप्यूटर पर एक समुद्र तट के साथ, ऐसा लगता है कि हमलावर तब तक प्रतीक्षा करने में सक्षम थे जब तक कि डेवलपर लास्टपास की प्रमाणीकरण प्रक्रिया से नहीं गुजरा था, जिसमें किसी भी आवश्यक बहु-कारक प्रमाणीकरण क्रेडेंशियल्स को प्रस्तुत करना शामिल था, और फिर उन्हें कंपनी के विकास प्रणालियों में "टेलगेट" किया।

लास्टपास ने जोर देकर कहा कि डेवलपर के खाते ने अपराधियों को किसी भी ग्राहक डेटा या वास्तव में किसी के एन्क्रिप्टेड पासवर्ड वॉल्ट तक पहुंच नहीं दी थी।

हालाँकि, कंपनी ने स्वीकार किया कि बदमाशों ने लास्टपास की मालिकाना जानकारी को चुरा लिया था, जिसमें विशेष रूप से शामिल हैं "हमारे कुछ स्रोत कोड और तकनीकी जानकारी", और यह कि बदमाश चार दिनों तक नेटवर्क में थे, इससे पहले कि उन्हें देखा गया और बाहर निकाल दिया गया।

लास्टपास के अनुसार, कंपनी के सर्वर पर बैकअप किए गए ग्राहक पासवर्ड कभी भी क्लाउड में डिक्रिप्टेड रूप में मौजूद नहीं होते हैं। आपके सहेजे गए पासवर्ड को खोलने के लिए उपयोग किए जाने वाले मास्टर पासवर्ड का केवल कभी अनुरोध किया जाता है और आपके अपने उपकरणों पर स्मृति में उपयोग किया जाता है। इसलिए, क्लाउड में संग्रहीत किसी भी पासवर्ड को अपलोड करने से पहले एन्क्रिप्ट किया जाता है, और डाउनलोड होने के बाद ही फिर से डिक्रिप्ट किया जाता है। दूसरे शब्दों में, भले ही पासवर्ड वॉल्ट डेटा चोरी हो गया हो, फिर भी यह समझ में नहीं आता।

नवीनतम घटनाक्रम

हालाँकि, नवंबर 2022 के अंत में, LastPass आगे भर्ती कराया कि कहानी में शायद उनकी अपेक्षा से कुछ अधिक था।

एक के अनुसार सुरक्षा बुलेटिन दिनांक 2022-11-30, कंपनी को हाल ही में हमलावरों द्वारा फिर से भंग कर दिया गया था "अगस्त 2022 की घटना में प्राप्त जानकारी का उपयोग", और इस बार ग्राहक डेटा चोरी हो गया।

दूसरे शब्दों में, भले ही अपराधी ग्राहक के रिकॉर्ड को खंगालने में सक्षम न हों सीधे डेवलपर के खाते से जो अगस्त में मैलवेयर से संक्रमित हो गया था, ऐसा लगता है कि बदमाश फिर भी आंतरिक विवरणों से दूर हो गए परोक्ष रूप से उन्हें, या किसी को जिसे उन्होंने डेटा पर बेचा था, बाद में ग्राहक जानकारी तक पहुंच प्रदान की।

दुर्भाग्य से, लास्टपास अभी तक इस बारे में कोई जानकारी नहीं दे रहा है कि किस प्रकार का ग्राहक डेटा चुराया गया था, यह रिपोर्ट करते हुए कि यह है "घटना के दायरे को समझने के लिए लगन से काम करना और यह पहचानना कि किस विशिष्ट जानकारी तक पहुँचा गया है".

लास्टपास अभी निश्चित रूप से यही कह सकता है [2022-12-01-T23:30Z] यह दोहराना है कि "[ओ] लास्टपास के जीरो नॉलेज आर्किटेक्चर के कारण आपके ग्राहकों के पासवर्ड सुरक्षित रूप से एन्क्रिप्टेड रहते हैं।"

(शून्य ज्ञान एक शब्दजाल शब्द है जो इस तथ्य को दर्शाता है कि हालांकि लास्टपास अपने ग्राहकों के पासवर्ड वाल्ट में कुछ प्रकार का डेटा रखता है, उसे इस बात का कोई ज्ञान नहीं है कि वह डेटा वास्तव में क्या संदर्भित करता है, या भले ही इसमें वास्तव में खाता नाम और पासवर्ड शामिल हों।)

संक्षेप में, भले ही अंततः यह पता चले कि बदमाश व्यक्तिगत जानकारी जैसे कि घर के पते, फोन नंबर और भुगतान कार्ड विवरण के साथ भाग गए होंगे (हालांकि हमें उम्मीद है कि ऐसा नहीं है), आपके पासवर्ड अभी भी उतने ही सुरक्षित हैं जितना कि वह मास्टर पासवर्ड जिसे आपने मूल रूप से अपने लिए चुना था, जिसे लास्टपास की क्लाउड सेवाएं कभी नहीं मांगती हैं, उसकी प्रतियां रखना तो दूर की बात है।

क्या करना है?

• यदि आप LastPass ग्राहक हैं, हमारा सुझाव है कि अपडेट के लिए आप कंपनी की सुरक्षा घटना रिपोर्ट पर नज़र रखें।
• यदि आप एक साइबर सुरक्षा रक्षक हैं, क्यों नहीं सुनते विशेषज्ञ सलाह सोफोस साइबर सिक्योरिटी के शोधकर्ता चेस्टर विस्नियुस्की से इस तरह के गेट-ए-बीचहेड-एंड-गो-फॉर-फॉर-देयर अटैक से अपनी खुद की आईटी संपत्ति की रक्षा कैसे करें?

नीचे दिए गए पॉडकास्ट में (वहाँ a पूर्ण प्रतिलेख यदि आप सुनना पसंद करते हैं तो पढ़ना पसंद करते हैं), चेस्टर चर्चा करता है इसी प्रकार का उल्लंघन यह सितंबर 2022 में राइड-हेलिंग व्यवसाय उबेर में हुआ था, और आपको याद दिलाता है कि "फूट डालो और राज करो", शब्दजाल शब्द से भी जाना जाता है शून्य विश्वास, समकालीन साइबर रक्षा का एक महत्वपूर्ण हिस्सा है।

जैसा कि चेस्टर बताते हैं, भले ही सभी उल्लंघनों से कुछ नुकसान होता है, या तो आपकी प्रतिष्ठा या आपकी निचली रेखा के लिए, परिणाम अनिवार्य रूप से बहुत बुरा होगा यदि बदमाशों तक पहुंच हो कुछ आपके नेटवर्क के लोग जहां चाहें वहां घूम सकते हैं, जब तक कि उन्हें एक्सेस नहीं मिल जाता सब इसके बारे में.