Kaj morate vedeti
- LastPass pravi, da so trezorji gesel strank končali v rokah kibernetskih kriminalcev.
- Hekerji so uporabili informacije, ki so jih pridobili iz prejšnjega incidenta, ki ga je LastPass razkril avgusta lani.
- Glavna gesla ostajajo varna in LastPass pravi, da bodo hekerji potrebovali milijone let, da jih uganejo.
Kršitev varnosti, ki jo je avgusta razkril LastPass, je hujša, kot se je prej mislilo. LastPass je potrdil, da so kiberkriminalci uporabili informacije, pridobljene v prejšnjem incidentu, da bi pridobili šifrirane trezorje gesel in druge podatke o strankah.
Glede na najnovejša posodobitev iz upravitelja gesel so hekerji lahko "kopirali varnostno kopijo podatkov trezorja strank iz šifriranega vsebnika za shranjevanje," kar vseboval nešifrirane podatke, kot so URL-ji, in šifrirana podatkovna polja, kot so uporabniška imena in gesla spletnih mest, varne opombe in izpolnjene obrazce podatke.
LastPass je avgusta dejal, da čeprav so hekerji pridobili dostop do delov njegovega razvojnega okolja, podatki o strankah niso bili ogroženi. Nekaj mesecev kasneje je podjetje razkrilo, da "določene elemente" podatkov o strankah
varnostni incident dejansko prizadel.Akterji groženj so pridobili dostop do njegove izvorne kode in drugih tehničnih podatkov ter te informacije uporabili za ogrožanje računa razvijalca LastPass. Hekerji so zaradi incidenta nazadnje ukradli varnostne kopije trezorjev uporabniških gesel.
Na srečo kibernetski kriminalci ne bodo mogli odkleniti šifriranih trezorjev gesel brez glavnih gesel, ki jih poznajo le lastniki računov. V podjetju poudarjajo, da so glavna gesla zaščitena s svojo arhitekturo Zero Knowledge, kar pomeni, da tega ne pozna niti LastPass.
Vendar pa je LastPass stranke opozoril, da lahko hekerji »poskušajo uporabiti surovo silo, da uganejo vaše glavno geslo in dešifriraj kopije podatkov trezorjev, ki so jih vzeli." To je verjetno glede na to, da so trezorji gesel zdaj v rokah grožnje igralci.
Poleg trezorjev gesel so hekerji pridobili dostop do zakladnice podatkov, vključno z imeni, e-poštnimi naslovi, telefonskimi številkami in nekaterimi informacijami za obračun. Lastniki prizadetih računov LastPass so prav tako potencialno ranljivi za "phishing napade, poverilnice polnjenja ali drugih napadov s surovo silo na spletne račune«, ki so povezani z njihovim LastPass trezor.
Ta kršitev varnosti služi kot opomnik, da celo najboljši upravitelji gesel so ranljivi za napad. Vedno je dobro, da nikoli ne uporabljate istega gesla za vse svoje spletne račune. V tem primeru LastPass priporoča, da svojega glavnega gesla ne uporabljate na drugih spletnih mestih. Še bolje, svetujemo, da svoje trenutno glavno geslo LastPass zamenjate z edinstveno kombinacijo in z njo zaščitite svoj račun dvofaktorsko avtentikacijo.