LastPass ammette la violazione dei dati dei clienti causata da precedenti violazioni

La società, che è di proprietà dell’azienda software-as-a-service GoTo, che era LogMeIn, ha pubblicato un rapporto molto breve ma comunque utile su quell’incidente circa un mese dopo:

In poche parole, LastPass ha concluso che gli aggressori sono riusciti a impiantare malware sul computer di uno sviluppatore.

Con una testa di ponte su quel computer, sembra che gli aggressori siano stati quindi in grado di attendere fino a quando lo sviluppatore non avesse completato il processo di autenticazione di LastPass, inclusa la presentazione di tutte le necessarie credenziali di autenticazione a più fattori, e quindi “tailgate” nei sistemi di sviluppo dell’azienda.

LastPass ha insistito sul fatto che l’account dello sviluppatore non aveva concesso ai criminali l’accesso ai dati dei clienti, o addirittura ai depositi di password crittografati di nessuno.

La società ha ammesso, tuttavia, che i truffatori si erano impossessati di informazioni proprietarie di LastPass, in particolare tra cui “alcuni dei nostri codici sorgente e informazioni tecniche” , e che i truffatori sono rimasti nella rete per quattro giorni prima di essere individuati e cacciati.

Secondo LastPass, le password dei clienti di cui è stato eseguito il backup sui server dell’azienda non esistono mai in forma decrittografata nel cloud. La password principale utilizzata per decifrare le password salvate viene sempre e solo richiesta e utilizzata in memoria sui propri dispositivi. Pertanto, tutte le password archiviate nel cloud vengono crittografate prima di essere caricate e decrittografate nuovamente solo dopo essere state scaricate. In altre parole, anche se i dati del deposito password fossero stati rubati, sarebbero stati comunque incomprensibili.

Ultimi sviluppi

Proprio alla fine di novembre 2022, tuttavia, LastPass ha inoltre ammesso che nella storia c’era qualcosa di più di quanto forse avessero sperato.

Secondo un bollettino sulla sicurezza datato 2022-11-30, la società è stata recentemente violata nuovamente da aggressori “utilizzando le informazioni ottenute nell’incidente dell’agosto 2022” e questa volta i dati dei clienti sono stati rubati.

In altre parole, anche se i criminali non sono stati in grado di scavare nei registri dei clienti direttamente dall’account dello sviluppatore che è stato infettato dal malware ad agosto, sembra che i criminali siano comunque scappati con dettagli interni che hanno fornito loro indirettamente , o qualcuno a cui hanno venduto i dati, l’accesso alle informazioni sui clienti in seguito.

Sfortunatamente, LastPass non ha ancora fornito alcuna informazione sul tipo di dati dei clienti rubati, riferendo semplicemente che sta “lavorando diligentemente per comprendere la portata dell’incidente e identificare a quali informazioni specifiche è stato effettuato l’accesso” .

Tutto ciò che LastPass può dire con certezza in questo momento [2022-12-01-T23:30Z] è ribadire che “le password dei nostri clienti rimangono crittografate in modo sicuro grazie all’architettura Zero Knowledge di LastPass”.

( Conoscenza zero è un termine gergale che riflette il fatto che sebbene LastPass conservi una sorta di dati nei depositi delle password dei suoi clienti, non ha alcuna conoscenza di ciò a cui si riferiscono effettivamente tali dati, o anche se in realtà consistono in nomi di account e password a tutto.)

In breve, anche se alla fine si scopre che i truffatori potrebbero essersi impossessati di informazioni personali come indirizzi di casa, numeri di telefono e dettagli della carta di pagamento (anche se speriamo che non sia così, ovviamente), le tue password sono ancora sicure come la password principale che hai scelto originariamente per te stesso, che i servizi cloud di LastPass non richiedono mai, figuriamoci conservarne le copie.

Cosa fare?

Se sei un cliente LastPass, ti suggeriamo di tenere d’occhio il rapporto sugli incidenti di sicurezza dell’azienda per gli aggiornamenti.
Se sei un difensore della sicurezza informatica, perché non ascoltare i consigli degli esperti del ricercatore di sicurezza informatica di Sophos Chester Wisniewski su come proteggere il tuo patrimonio IT da questo tipo di attacco “prendi una testa di ponte e vai avanti da lì”?

Nel podcast qui sotto (c’è una trascrizione completa se preferisci leggere piuttosto che ascoltare), Chester discute di un simile tipo di violazione che si è verificato nel settembre 2022 presso l’azienda Uber, e ti ricorda perché “divide et impera”, noto anche con il termine gergale zero trust , è una parte importante della cyberdefence contemporanea.

Come spiega Chester, anche se tutte le violazioni causano qualche danno, sia alla tua reputazione che ai tuoi profitti, il risultato sarà inevitabilmente molto peggiore se i truffatori che ottengono l’accesso ad una parte della tua rete possono girovagare dove vogliono finché non ottengono l’accesso. a tutto ciò.

Fonte :

LastPass admits to customer data breach caused by previous breach

L’articolo LastPass ammette la violazione dei dati dei clienti causata da precedenti violazioni proviene da .