Cyberaanvallen hebben de interne systemen van LastPass gecompromitteerd en zijn aan de haal gegaan met broncode en intellectueel eigendom.
Het wachtwoordbeheerbedrijf zei twee weken geleden abnormale activiteit in zijn ontwikkelomgeving te hebben gedetecteerd. Na het graven van de forensische gegevens, stelden de onderzoekers vast dat iemand (of iemand) een ontwikkelaarsaccount heeft gecompromitteerd om toegang te krijgen tot het netwerk, waarbij "delen van de broncode en een aantal bedrijfseigen technische informatie van LastPass" zijn meegenomen. aankondiging geplaatst deze week.
Cruciaal was dat de tegenstanders geen toegang hadden tot klantgegevens of gecodeerde wachtwoordkluizen.
"We gebruiken een industriestandaard 'zero-knowledge'-architectuur die ervoor zorgt dat LastPass nooit het hoofdwachtwoord van onze klanten kan weten of er toegang toe kan krijgen [en het] ervoor zorgt dat alleen de klant toegang heeft tot het ontsleutelen van kluisgegevens", aldus LastPass.
Dat gezegd hebbende, merkte Ajay Arora, mede-oprichter en president van BluBracket, op dat aanvallers hard zullen zoeken naar mogelijke zwakke punten om te misbruiken in de LastPass-broncode, wat mogelijk kan leiden tot vervolgaanvallen.
"Een bijkomend gevolg van gestolen of gelekte broncode is dat deze code geheimen over de architectuur van een applicatie kan onthullen", zei hij via een verklaring per e-mail. “Dit kan informatie onthullen over waar bepaalde gegevens zijn opgeslagen en welke andere bronnen een organisatie kan gebruiken. Deze factoren kunnen vervolgens slechte actoren toerusten om achteraf nog meer schade toe te brengen aan een organisatie.”
Tom Kellermann, senior vice-president cyberstrategie bij Contrast Security, zei ook in een verklaring dat de aanvallers hadden kunnen rondneuzen om te zien of ze een weg konden vinden naar LastPass-partner- of leveranciersnetwerken.
“Cyberbeveiligingsbedrijven worden geviseerd om eilandhoppen," hij zei. "Na de FireEye-inbreuk, had de industrie wakker moeten worden. In 2022 moeten cyberbeveiligingsbedrijven doen wat ze prediken. Velen investeren nog steeds te weinig in hun eigen cyberbeveiliging. Verwacht geraakt te worden en bereid je voor om te reageren.”
