За останні кілька місяців LastPass був центром кількох проблем, пов’язаних з витоком даних користувачів. У грудні минулого року LastPass опублікував звіт, у якому стверджується, що він був атакований у листопаді. Тоді компанія не розкрила багато деталей атаки. Однак нові розслідування тепер показують, що напад стався кілька місяців тому. Крім того, зловмисник отримав від LastPass паролі 30 мільйонів користувачів і 85 тисяч компаній. LastPass — це безкоштовний міжплатформний онлайн-інструмент керування паролями. Він спрямований на розв’язання проблеми частого введення паролів шляхом централізації паролів користувачів у хмарі. Ця система підтримує більшість браузерів і платформ в Інтернеті.

Найважливіше порушення даних?

З цієї причини, якщо будь-яка ваша інформація пов’язана з LastPass, у вас є серйозні причини хвилюватися.

FTM зазначає у звіті: «Це може бути одна з найцінніших викрадених баз даних. База даних включає мільйони користувачів, і кожен користувач зазвичай зберігає десятки паролів».

За останній рік LastPass провів чотири звіти, і проблеми, висвітлені у звітах, стали серйознішими. Виконавчий директор Карім Тубба заявив минулого серпня, що хакер отримав доступ до простору розробки компанії через обліковий запис співробітника. Тубба сказав, що активність хакера була «обмеженою», і клієнтам LastPass не потрібно турбуватися або вживати будь-яких дій.

Ще один звіт від LastPass знову в середині вересня стверджує, що внутрішнє розслідування показує, що хакери мали доступ до його систем протягом чотирьох днів, але нічого серйозного не зробили. Наприкінці листопада LastPass повідомила про ще одну кібератаку, коли хакери отримали доступ до «певних елементів інформації про клієнтів». Але LastPass наполягає, що причин для хвилювання немає.

LastPass оголосив 22 грудня, за три дні до Різдва минулого року, що хакери вкрали імена користувачів, адреси, електронні адреси, номери телефонів тощо. Однак компанія все ще наполягає, що серйозних проблем, про які варто турбуватися, немає. За словами компанії, поки клієнти мають хороший головний пароль, їхні паролі безпечні. LastPass заявив, що для злому 12-значного пароля за допомогою «універсально доступних методів» знадобляться мільйони років.

LastPass страждає від багатьох порушень даних

Ще в грудні The Verge повідомило, що в інструменті керування паролями LastPass стався черговий злам даних. Хакери отримали доступ до серверів сторонніх хмарних сховищ LastPass і отримали важливу інформацію про деяких клієнтів, заявив генеральний директор Карім Тубба в публікації в блозі.

У своєму блозі Туба не уточнив, яку інформацію вкрали хакери або скільки користувачів постраждало. «Завдяки архітектурі LastPass Zero Knowledge паролі наших клієнтів залишаються надійно зашифрованими», — сказав Туба в дописі в блозі. Так звана архітектура з нульовим знанням означає, що лише користувач знає головний пароль. Крім того, шифрування відбувається лише на рівні пристрою, а не на стороні сервера, і LassPass цього не знатиме.

У серпні цього року у LastPass стався витік вихідного коду, і він визнав, що хакери проникли у внутрішні системи LastPass. Напад, отриманий у листопаді, має бути пов’язаний із серпневим інцидентом. Туба сказав, що хакери «використали інформацію, отриману під час інциденту в серпні 2022 року», щоб отримати доступ до даних користувачів.

LastPass визнає, що вихідний код вкрали хакери

У серпні LastPass публічно визнав інцидент з безпекою. Виявляється, що обліковий запис розробника було зламано, і злочинці отримали частину вихідного коду та деяку конфіденційну технічну інформацію. Однак компанія стверджує, що витоку будь-яких даних користувачів немає, а її сервісні продукти безпечні. Компанія також повідомляє, що її продукти та послуги працюють нормально, і користувачам не потрібно нічого робити.

У LastPass заявили, що виявили, що порушення безпеки було використано в листопаді минулого року. Однак його робота показує, що всі дані користувача безпечні, оскільки компанія не зберігала жодного головного пароля на своєму сервері. Таким чином, ці паролі ніколи не були під загрозою.

«Ми визначили, що неавторизована сторона отримала частковий доступ до середовища розробки LastPass через зламаний обліковий запис розробника та отримала частини вихідного коду та деяку пропрієтарну технічну інформацію LastPass. Наші продукти та послуги працюють нормально. Це сталося в нашому середовищі розробки. Наші висновки показують, що сторонні особи не отримали доступу до зашифрованих даних сховища. Наша модель гарантує, що лише сам клієнт має право розшифровувати дані сховища. Наразі ми не рекомендуємо жодних дій нашим користувачам чи адміністраторам».

Паролі в LastPass захищені головним паролем, зашифровані локально та синхронізовані з будь-яким браузером. LastPass також підтримує такі функції, як автоматичне заповнення форм, генерація випадкових паролів і обмін паролями.

LastPass зламано, генеральний директор запевняє, що дані користувачів не витікають

Ще в серпні, LastPass визнав, що його системи були зламані, і деяка конфіденційна інформація була отримана протягом приблизно чотирьох днів. Генеральний директор LastPass стверджує, що компанія буде тісно співпрацювати з експертами з безпеки з Mandiant, щоб з’ясувати, що не було витоку даних користувачів. Він стверджує, що дані його користувачів важливіші.

Генеральний директор запевнив, що хоча LastPass був зламаний, витоку даних користувачів не було. З наявної інформації зловмисники дійсно отримали вихідний код менеджера паролів LastPass і технічну інформацію. Однак це обмежено розробником системі сервісу та не має нічого спільного з даними користувача. Не кажучи вже про те, що сам LastPass не мав доступу до головних паролів користувачів. Насправді компанія стверджує, що головні паролі не знаходяться на її сервері. Таким чином, хакери не могли їх викрасти.

Після використання багатофакторної автентифікації зловмисники використовували кінцеву точку розробника та видавали себе за розробника. Ось як вони отримали доступ до крадіжки кількох даних.