Τι πρέπει να ξέρετε
- Το LastPass λέει ότι τα θησαυροφυλάκια κωδικών πρόσβασης των πελατών έχουν καταλήξει στα χέρια των εγκληματιών του κυβερνοχώρου.
- Οι χάκερ χρησιμοποίησαν πληροφορίες που έλαβαν από προηγούμενο περιστατικό που αποκάλυψε το LastPass τον περασμένο Αύγουστο.
- Οι κύριοι κωδικοί πρόσβασης παραμένουν ασφαλείς και το LastPass λέει ότι θα χρειαστούν εκατομμύρια χρόνια για να τους μαντέψουν οι χάκερ.
Η παραβίαση ασφαλείας που αποκαλύφθηκε από το LastPass τον Αύγουστο είναι χειρότερη από ό, τι πιστεύαμε προηγουμένως. Το LastPass επιβεβαίωσε ότι οι εγκληματίες του κυβερνοχώρου χρησιμοποίησαν πληροφορίες που ελήφθησαν από το προηγούμενο περιστατικό για να αποκτήσουν κρυπτογραφημένα θησαυροφυλάκια κωδικών πρόσβασης και άλλα δεδομένα πελατών.
Σύμφωνα με την ΤΕΛΕΥΤΑΙΑ ΑΝΑΒΑΘΜΙΣΗ από τον διαχειριστή κωδικών πρόσβασης, οι χάκερ μπόρεσαν να "αντιγράψουν ένα αντίγραφο ασφαλείας των δεδομένων του θησαυροφυλακίου πελατών από το κρυπτογραφημένο κοντέινερ αποθήκευσης", το οποίο περιείχε τόσο μη κρυπτογραφημένα δεδομένα, όπως διευθύνσεις URL, όσο και πεδία κρυπτογραφημένων δεδομένων, όπως ονόματα χρήστη και κωδικούς πρόσβασης ιστότοπου, ασφαλείς σημειώσεις και συμπληρωμένα με φόρμα δεδομένα.
Η LastPass είπε τον Αύγουστο ότι ενώ οι χάκερ απέκτησαν πρόσβαση σε τμήματα του περιβάλλοντος ανάπτυξής της, κανένα στοιχείο πελάτη δεν διακυβεύτηκε. Λίγους μήνες αργότερα, η εταιρεία αποκάλυψε ότι «ορισμένα στοιχεία» των δεδομένων των πελατών επηρεάστηκαν πραγματικά από το περιστατικό ασφαλείας.
Οι φορείς απειλών απέκτησαν πρόσβαση στον πηγαίο κώδικα και σε άλλα τεχνικά δεδομένα και χρησιμοποίησαν αυτές τις πληροφορίες για να παραβιάσουν τον λογαριασμό ενός προγραμματιστή του LastPass. Οι χάκερ έκλεψαν τελικά αντίγραφα ασφαλείας των θυρίδων κωδικών πρόσβασης χρηστών ως αποτέλεσμα του συμβάντος.
Ευτυχώς, οι εγκληματίες του κυβερνοχώρου δεν θα μπορούν να ξεκλειδώσουν τα κρυπτογραφημένα θησαυροφυλάκια κωδικών πρόσβασης χωρίς τους κύριους κωδικούς πρόσβασης, τους οποίους μόνο οι κάτοχοι λογαριασμών γνωρίζουν. Η εταιρεία τονίζει ότι οι κύριοι κωδικοί πρόσβασης προστατεύονται από την αρχιτεκτονική Zero Knowledge, πράγμα που σημαίνει ότι ούτε το LastPass το γνωρίζει.
Ωστόσο, το LastPass έχει προειδοποιήσει τους πελάτες ότι οι χάκερ «μπορεί να επιχειρήσουν να χρησιμοποιήσουν ωμή βία για να μαντέψουν τον κύριο κωδικό πρόσβασης και αποκρυπτογραφήστε τα αντίγραφα των δεδομένων του θησαυροφυλακίου που πήραν." Αυτό είναι πιθανό δεδομένου ότι τα θησαυροφυλάκια κωδικών πρόσβασης βρίσκονται τώρα στα χέρια της απειλής ηθοποιούς.
Εκτός από τα θησαυροφυλάκια κωδικών πρόσβασης, οι χάκερ απέκτησαν πρόσβαση σε έναν θησαυρό δεδομένων, συμπεριλαμβανομένων ονομάτων, διευθύνσεων email, αριθμών τηλεφώνου και ορισμένων στοιχείων χρέωσης. Οι ιδιοκτήτες λογαριασμών LastPass που επηρεάζονται είναι επίσης δυνητικά ευάλωτοι σε "επιθέσεις phishing, διαπιστευτήρια γέμισμα ή άλλες επιθέσεις ωμής βίας εναντίον διαδικτυακών λογαριασμών» που συνδέονται με το LastPass τους θόλος.
Αυτή η παραβίαση ασφαλείας χρησιμεύει ως υπενθύμιση ότι ακόμη και το καλύτεροι διαχειριστές κωδικών πρόσβασης είναι ευάλωτα σε επιθέσεις. Είναι πάντα καλή ιδέα να μην χρησιμοποιείτε ποτέ τον ίδιο κωδικό πρόσβασης για όλους τους διαδικτυακούς σας λογαριασμούς. Σε αυτήν την περίπτωση, το LastPass συνιστά να μην χρησιμοποιείτε τον κύριο κωδικό πρόσβασής σας σε άλλους ιστότοπους. Ακόμα καλύτερα, συνιστάται να αντικαταστήσετε τον τρέχοντα κύριο κωδικό πρόσβασης LastPass με έναν μοναδικό συνδυασμό και να προστατεύσετε τον λογαριασμό σας με έλεγχος ταυτότητας δύο παραγόντων.