Στη συμβουλευτική που δημοσιεύθηκε στις 25 Αυγούστου, ο Karim Toubba, ο Διευθύνων Σύμβουλος της LastPass δήλωσε ότι ένα μη εξουσιοδοτημένο μέρος είχε κλέψει « τμήματα του πηγαίου κώδικα και ορισμένες ιδιόκτητες τεχνικές πληροφορίες LastPass .» Ωστόσο, δεν επηρεάστηκαν οι κωδικοί πρόσβασης ή οι λογαριασμοί πελατών.

Η εταιρεία διαχείρισης κωδικών πρόσβασης δέχθηκε χακάρισμα πριν από μερικές εβδομάδες σε μια από τις μεγαλύτερες παραβιάσεις ασφαλείας του 2022. Οι μυστικοί άνθρωποι αποκάλυψαν ορισμένες λεπτομέρειες σε πολλά ειδησεογραφικά πρακτορεία δηλώνοντας ότι οι εργαζόμενοι προσπαθούσαν να περιορίσουν την επίθεση μετά την παραβίαση.



Το LastPass παραβιάστηκε πριν από δύο εβδομάδες. Εκδόθηκε συμβουλευτική στις 25 Αυγούστου

Ένας χάκερ διείσδυσε στη διαχείριση κωδικών πρόσβασης στην LastPass, GoTo (προηγουμένως LogMeIn, Inc), πριν από δύο εβδομάδες. Η αρχική έρευνα της εταιρείας αποκαλύπτει ότι η εισβολή μπόρεσε μόνο να καταλάβει τα εσωτερικά συστήματα της εταιρείας για ανάπτυξη λογισμικού.

Ευτυχώς, δεν επηρεάστηκαν δεδομένα σχετικά με τους κωδικούς πρόσβασης και τα στοιχεία των πελατών. Την Πέμπτη, 25 Αυγούστου 2022, το LastPass έστειλε ένα email στους πελάτες σχετικά με την παραβίαση.



' Διαπιστώσαμε ότι ένα μη εξουσιοδοτημένο μέρος απέκτησε πρόσβαση σε τμήματα του περιβάλλοντος ανάπτυξης LastPass μέσω ενός μεμονωμένου παραβιασμένου λογαριασμού προγραμματιστή και πήρε τμήματα πηγαίου κώδικα και ορισμένες ιδιόκτητες τεχνικές πληροφορίες LastPass », ανέφερε το email.

' Δεν έχουμε στοιχεία που να αποδεικνύουν ότι αυτό το περιστατικό αφορούσε πρόσβαση σε δεδομένα πελατών ή κρυπτογραφημένες θήκες κωδικών πρόσβασης », προστίθεται.

Το LastPass έχει εφαρμόσει μέτρα περιορισμού και μετριασμού

Σε απάντηση στην παραβίαση δεδομένων, το LastPass έχει αναπτύξει «μέτρα περιορισμού και μετριασμού». Επιπλέον, έχουν προσλάβει επίσης μια κορυφαία εταιρεία κυβερνοασφάλειας για να ερευνήσει την εισβολή. Η εταιρεία έχει επίσης δημοσιεύσει ένα FAQ επιβεβαιώνοντας ότι όλα τα προϊόντα και οι υπηρεσίες LastPass είναι αδιάλειπτα και λειτουργούν κανονικά.

Το LastPass δεν έχει κοινοποιήσει άλλες λεπτομέρειες καθώς ο διαχειριστής κωδικών πρόσβασης ξεκινά μια ιατροδικαστική έρευνα. Ωστόσο, η κύρια ανησυχία παραμένει ότι τα κλεμμένα ιδιόκτητα δεδομένα μπορεί να ανοίξουν τον δρόμο για τους εγκληματίες του κυβερνοχώρου να αποκαλύψουν ευπάθειες στις λειτουργίες της εταιρείας.

Προς το παρόν, το FAQ της εταιρείας αναφέρει ότι το LastPass δεν αποθηκεύει πληροφορίες σχετικά με τον 'Κύριο κωδικό πρόσβασης' που χρησιμοποιούν οι πελάτες για να έχουν πρόσβαση στους λογαριασμούς τους μέσω των υπηρεσιών διαχείρισης κωδικών πρόσβασης.

Αντίθετα, η εταιρεία λειτουργεί με έναν μηχανισμό «κρυπτογράφησης μηδενικής γνώσης» για να ξεκλειδώσει την πρόσβαση στον λογαριασμό ενός χρήστη. Αυτό σημαίνει ότι ο Κύριος κωδικός πρόσβασης αποθηκεύεται μόνο στη συσκευή του πελάτη και στη μνήμη του.

Πώς να προστατεύσετε τον εαυτό σας από την παραβίαση δεδομένων του LastPass;

Δεδομένου ότι το LastPass δεν αποθηκεύει πουθενά τον Κύριο κωδικό πρόσβασης και χρησιμοποιεί το μοντέλο 'μηδενικής γνώσης', δεν χρειάζεται να ανησυχείτε εάν είστε χρήστης του LastPass. Ωστόσο, η εταιρεία εξακολουθεί να ανησυχεί για να αποτρέψει τυχόν μελλοντικές απόπειρες hacking ή συμβιβασμούς.

Οι Συχνές Ερωτήσεις του διαχειριστή κωδικών πρόσβασης δηλώνουν επίσης, 'Προς το παρόν, δεν συνιστούμε καμία ενέργεια εκ μέρους των χρηστών ή των διαχειριστών μας'. Εάν εξακολουθείτε να ανησυχείτε, μπορείτε να εφαρμόσετε ορισμένα γενικά μέτρα, όπως να αλλάξετε τον κύριο κωδικό πρόσβασής σας και να μην τον αποθηκεύσετε στη συσκευή σας.

Θα πρέπει επίσης να χρησιμοποιήσετε έναν ισχυρό συνδυασμό αλφαβήτων και αριθμών για να δημιουργήσετε τον κωδικό πρόσβασής σας. Μην χρησιμοποιείτε τυχαίες σειρές όπως 12345678 ή γενικές λέξεις όπως το όνομά σας ή την τοποθεσία σας. Η χρήση ενός δύσκολου κωδικού πρόσβασης στο διαδίκτυο είναι απαραίτητη αυτές τις μέρες.

Αλλάξτε τον κύριο κωδικό πρόσβασης LastPass

Ο κύριος κωδικός πρόσβασης στον λογαριασμό σας στο LastPass είναι ένα κλειδί all-in-one που ξεκλειδώνει την πρόσβαση σε οτιδήποτε υπάρχει στον λογαριασμό σας, συμπεριλαμβανομένων όλων των κωδικών πρόσβασης ιστότοπου, ασφαλών σημειώσεων, στοιχείων συμπλήρωσης φόρμας κ.λπ. Ακολουθήστε αυτά τα βήματα για να αλλάξετε τον κύριο κωδικό πρόσβασης LastPass:

  • Ανοίξτε ένα πρόγραμμα περιήγησης και επισκεφτείτε το αυτή η σελίδα .
  • Τώρα συνδεθείτε με τη διεύθυνση email και τον κύριο κωδικό πρόσβασης.
  • Στη συνέχεια, επιλέξτε Ρυθμίσεις λογαριασμού από το αριστερό μενού πλοήγησης.
  • Στην καρτέλα Γενικά, κάντε κλικ στην επιλογή 'Αλλαγή κύριου κωδικού πρόσβασης'.

  • Τώρα εισαγάγετε τον τρέχοντα κύριο κωδικό πρόσβασης.
  • Στη συνέχεια, εισαγάγετε έναν νέο κύριο κωδικό πρόσβασης και εισαγάγετε μια υπόδειξη κωδικού πρόσβασης.
  • Τέλος, κάντε κλικ στο «Αποθήκευση κύριου κωδικού πρόσβασης».

Αφού επαναφέρετε τον κύριο κωδικό πρόσβασης, γράψτε τον σε ένα κομμάτι χαρτί χρησιμοποιώντας ένα στυλό και κρατήστε το χαρτί σε ασφαλές μέρος. Μην το πετάτε σε ένα τυχαίο συρτάρι ή κάτω από το στρώμα σας. Συνιστάται επίσης η δημιουργία αντιγράφου του χαρτιού.

Το LastPass υπέστη επίσης ένα Credential Stuffing πέρυσι

Το LastPass υπέστη επίσης μια επίθεση γεμίσματος διαπιστευτηρίων πέρυσι που είχε ως αποτέλεσμα την πρόσβαση των απειλών στους κύριους κωδικούς πρόσβασης. Η εταιρεία επιβεβαίωσε ότι οι κύριοι κωδικοί πρόσβασης κλάπηκαν από χάκερ. Οι εισβολείς διένειμαν επίσης το κακόβουλο λογισμικό RedLine που κλέβει τον κωδικό πρόσβασης στα συστήματα.

Το LastPass δημοσίευσε την ακόλουθη δήλωση ως απάντηση στην επίθεση, ' Τα αρχικά ευρήματά μας μας οδήγησαν να πιστέψουμε ότι αυτές οι ειδοποιήσεις ενεργοποιήθηκαν ως απόκριση σε απόπειρα δραστηριότητας «γεμίσματος διαπιστευτηρίων», κατά την οποία ένας κακόβουλος ή κακός ηθοποιός επιχειρεί να αποκτήσει πρόσβαση σε λογαριασμούς χρηστών (σε αυτήν την περίπτωση, LastPass) χρησιμοποιώντας διευθύνσεις email και κωδικούς πρόσβασης που ελήφθησαν από τρίτο παραβιάσεις κομμάτων που σχετίζονται με άλλες μη συνδεδεμένες υπηρεσίες .»

' Εργαστήκαμε γρήγορα για να διερευνήσουμε αυτήν τη δραστηριότητα και, προς το παρόν, δεν έχουμε καμία ένδειξη ότι τυχόν λογαριασμοί LastPass παραβιάστηκαν από μη εξουσιοδοτημένο τρίτο μέρος ως αποτέλεσμα αυτών των προσπαθειών γεμίσματος διαπιστευτηρίων, ούτε βρήκαμε καμία ένδειξη ότι τα διαπιστευτήρια LastPass του χρήστη συλλέχθηκαν από κακόβουλο λογισμικό , απατεώνες επεκτάσεις προγράμματος περιήγησης ή καμπάνιες phishing .»

Πριν από αυτό, το LastPass ανέφερε μια ευπάθεια ασφαλείας στην επέκτασή του για το Google Chrome. Αν και δεν ήταν ακριβώς παραβίαση, πολλοί χρήστες του Διαδικτύου έμειναν ανήσυχοι λόγω των ειδήσεων.

Προς το παρόν, η κατάσταση είναι υπό τον έλεγχο της εταιρείας. Θα σας κρατάμε ενήμερους για περαιτέρω εξελίξεις.