В LastPass произошла утечка данных, исходный код украден

Злоумышленники взломали внутренние системы LastPass, похитив исходный код и интеллектуальную собственность.

Компания по управлению паролями заявила, что две недели назад обнаружила аномальную активность в своей среде разработки. Изучив криминалистические данные, следователи установили, что кто-то (или кто-то) скомпрометировал учетную запись разработчика, чтобы получить доступ к сети, взяв «части исходного кода и некоторую проприетарную техническую информацию LastPass». объявление опубликовано на этой неделе.

Важно отметить, что злоумышленники не смогли получить доступ к данным клиентов или зашифрованным хранилищам паролей.

«Мы используем стандартную отраслевую архитектуру с нулевым разглашением, которая гарантирует, что LastPass никогда не сможет узнать или получить доступ к мастер-паролю наших клиентов [и это] гарантирует, что только клиент имеет доступ к расшифровке данных хранилища», — говорится в сообщении. LastPass.

Тем не менее, Аджай Арора, соучредитель и президент BluBracket, отметил, что злоумышленники будут усердно искать потенциальные уязвимости в исходном коде LastPass, которые могут привести к последующим атакам.

«Дополнительным последствием, которое может произойти из-за украденного или просочившегося исходного кода, является то, что этот код может раскрывать секреты об архитектуре приложения», — сказал он в заявлении, отправленном по электронной почте. «Это может раскрыть информацию о том, где хранятся определенные данные и какие другие ресурсы может использовать организация. Эти факторы могут затем дать злоумышленникам возможность нанести дополнительный вред организации постфактум».

Том Келлерманн, старший вице-президент по киберстратегии в Contrast Security, также заявил в своем заявлении, что злоумышленники могли исследовать все вокруг, чтобы увидеть, смогут ли они найти путь к сетям партнеров или поставщиков LastPass.

«Компании, занимающиеся кибербезопасностью, преследуются, чтобы облегчить прыжок с острова," он сказал. "После Нарушение FireEye, промышленность должна была проснуться. В 2022 году компании, занимающиеся кибербезопасностью, должны практиковать то, что они проповедуют. Многие по-прежнему недостаточно инвестируют в собственную кибербезопасность. Ожидайте удара и будьте готовы ответить».