LastPass는 이전 위반으로 인한 고객 데이터 위반을 인정합니다.

2022년 XNUMX월, 인기 비밀번호 관리 회사인 LastPass가 인정하다 데이터 침해.

LogMeIn이었던 SaaS(software-as-a-service) 기업인 GoTo가 소유한 이 회사는 매우 간략하지만 그럼에도 불구하고 유용한 신고 약 한 달 후 그 사건에 대해:

간단히 말해 LastPass는 공격자가 개발자의 컴퓨터에 맬웨어를 심는 데 성공했다고 결론지었습니다.

해당 컴퓨터에 교두보를 두고 공격자는 개발자가 필요한 다단계 인증 자격 증명을 제시하는 것을 포함하여 LastPass의 인증 프로세스를 통과할 때까지 기다린 다음 회사의 개발 시스템에 "꼬리 문"으로 보낼 수 있었던 것으로 보입니다.

LastPass는 개발자의 계정이 범죄자에게 고객 데이터 또는 실제로 누군가의 암호화된 암호 저장소에 대한 액세스 권한을 부여하지 않았다고 주장했습니다.

그러나 회사는 사기꾼들이 특히 다음을 포함하여 LastPass 독점 정보로 도주했음을 인정했습니다. "일부 소스 코드 및 기술 정보", 사기꾼들이 발각되어 쫓겨나기 전까지 XNUMX일 동안 네트워크에 있었다고 합니다.

LastPass에 따르면 회사 서버에 백업된 고객 비밀번호는 클라우드에 해독된 형태로 존재하지 않습니다. 저장된 암호를 해독하는 데 사용되는 마스터 암호는 사용자 장치의 메모리에서만 요청되고 사용됩니다. 따라서 클라우드에 저장된 모든 비밀번호는 업로드되기 전에 암호화되고 다운로드된 후에만 다시 해독됩니다. 즉, 비밀번호 보관소 데이터를 훔쳤다고 해도 어차피 알 수 없었을 것이다.

최신 개발

그러나 2022년 XNUMX월 말에 LastPass는 추가 인정 아마도 그들이 기대했던 것보다 이야기에 조금 더 많은 것이 있다는 것입니다.

A에 따라 보안 게시판 2022-11-30 일자, 회사는 최근 공격자에 의해 다시 위반되었습니다. “2022년 XNUMX월 사건에서 얻은 정보를 이용”, 이번에는 고객 데이터가 도난당했습니다.

즉, 범죄자들이 고객 기록을 파헤치지 못하더라도 직접 XNUMX월에 맬웨어에 감염된 개발자의 계정에서 사기꾼은 그럼에도 불구하고 내부 세부 정보를 도용한 것으로 보입니다. 간접적으로 그들 또는 그들이 데이터를 판매한 누군가에게 나중에 고객 정보에 대한 액세스 권한을 부여했습니다.

안타깝게도 LastPass는 어떤 종류의 고객 데이터가 도난당했는지에 대한 정보를 아직 제공하지 않고 있습니다. "사고의 범위를 이해하고 어떤 특정 정보에 액세스했는지 확인하기 위해 부지런히 작업합니다.".

LastPass가 지금 확실히 말할 수 있는 것은 [2022-12-01-T23:30Z] 다음을 반복하는 것입니다. "[o]ur 고객의 비밀번호는 LastPass의 Zero Knowledge 아키텍처로 인해 안전하게 암호화된 상태로 유지됩니다."

(제로 지식 LastPass는 고객의 암호 보관소에 일종의 데이터를 보유하고 있지만 해당 데이터가 실제로 무엇을 의미하는지 또는 실제로 계정 이름과 암호로 구성되어 있는지에 대해 알지 못한다는 사실을 반영하는 전문 용어입니다.)

요컨대, 사기꾼이 집 주소, 전화번호, 지불 카드 세부 정보와 같은 개인 정보로 도용했을 수 있다는 것이 궁극적으로 밝혀지더라도(물론 그렇지 않기를 바랍니다) 암호는 여전히 안전합니다. LastPass의 클라우드 서비스는 사본을 보관하는 것은 고사하고 원래 자신을 위해 선택한 마스터 암호입니다.

무엇을해야 하는가?

• LastPass 고객인 경우, 업데이트를 위해 회사의 보안 사고 보고서를 주시하는 것이 좋습니다.
• 사이버 보안 수비수라면 왜 안 들어 전문가의 조언 Sophos 사이버 보안 연구원 Chester Wisniewski가 이러한 종류의 교두보를 확보하고 거기에서 출발하는 공격으로부터 자신의 IT 자산을 보호하는 방법에 대해 설명합니다.

아래 팟캐스트에서( 전체 성적 증명서 듣기보다 읽기를 선호하는 경우) Chester는 유사한 종류의 위반 2022년 XNUMX월 승차호출 기업인 Uber에서 일어난 사건을 통해 전문 용어로도 알려진 "분할 및 정복"이 왜 필요한지 상기시켜줍니다. 제로 트러스트, 현대 사이버 방어의 중요한 부분입니다.

Chester가 설명했듯이 모든 위반이 귀하의 명성이나 수익에 어느 정도 해를 끼치더라도, 사기꾼이 일부 네트워크에 액세스할 때까지 원하는 곳 어디에서나 돌아다닐 수 있습니다. 모든 그것의.