LastPass je hakovan po drugi put u tri mjeseca. Koristi ga više od 30 miliona ljudi širom svijeta. Menadžer lozinki LastPass je priznao da su hakeri ukrali šifrovane kopije korisničkih lozinki i drugih osjetljivih podataka, uključujući korisničke adrese za naplatu, brojeve telefona i IP adrese. Prvo je sistem hakovan još u avgustu, krajem novembra - početkom decembra pojavile su se informacije o tome koji su podaci ukradeni, a sada je blog kompanije objavio detalje.
Hakiran je menadžer lozinki LastPass, što se pokazalo vrlo uspješnim za same hakere, uspjeli su doći do podataka korisnika, ali se još ne zna šta tačno. Vjerovatno je da sada imaju pristup lozinkama koje korisnici servisa pohranjuju u svojim profilima.
Informaciju o LastPass haku i kompromitovanju korisničkih podataka potvrdili su i predstavnici samog servisa. Međutim, pažljivo skrivaju kako obim curenja, tako i prirodu informacija koje su završile u rukama napadača, pa su za sada u opasnosti svi korisnici LastPass-a bez izuzetka, a to su milioni ljudi širom svijeta. Prema podacima portala EarthWeb, od oktobra 2022. godine, baza korisnika LastPass brojala je 33 miliona ljudi.
U trenutku kada je materijal objavljen, predstavnici LastPass-a nisu potvrdili, ali nisu ni demantovali curenje lozinki korisnika koji se nalaze u njihovom ličnom onlajn skladištu. Međutim, postoji rizik od upravo takvog rezultata hakerskog napada. Osim toga, uzimajući u obzir činjenicu da je LastPass dozvolio da lozinke procure više od jednom u svojih 14 godina postojanja, rizik u ovom slučaju je visok.
šta da radim?
Prva stvar koju korisnici treba da urade je da vide koje su lozinke pohranjene u oblaku i da ih promijene što je prije moguće prije nego što napadači dođu do njih. Mnogi ljudi, na primjer, čuvaju lozinke iz internet banke ili korporativne e-pošte u takvim menadžerima.
Drugi korak je pronaći, ako ne zamjenu za LastPass, onda barem backup menadžer lozinki među onima koji rade van mreže. Takvi programi pohranjuju bazu podataka lozinki direktno na uređaj korisnika (često u šifriranom obliku), što značajno smanjuje rizik od curenja njenog sadržaja.
Menadžeri lozinki omogućavaju korisnicima da pohranjuju svoja korisnička imena i lozinke na različitim stranicama na jednom mjestu – pristupa se pomoću glavne lozinke koju je kreirao korisnik. Last Pass ne pohranjuje niti odlaže glavnu lozinku. Ostali šifrirani podaci mogu se dohvatiti samo korištenjem "jedinstvenog ključa za šifriranje dobivenog od glavne lozinke korisnika". Međutim, kompanija je upozorila kupce da bi mogli postati žrtve socijalnog inženjeringa, krađe identiteta i drugih metoda pribavljanja informacija. Osim toga, hakeri mogu koristiti napad grube sile kako bi dobili glavnu lozinku i dešifrirali druge podatke koji se nalaze u šifriranoj memoriji. Međutim, LastPass tvrdi da će napadačima biti potrebni "milioni godina" da pogode lozinku koristeći javno dostupne tehnike hakovanja.
Kompanija je saopštila da Mandiant, kompanija koja pruža cyber sigurnost, istražuje incident, a da LastPass sam u potpunosti obnavlja cjelokupno radno okruženje - to indirektno ukazuje da su hakeri došli do značajnih dijelova koda i drugih podataka.
LastPass je također rekao da je istraga u toku, a kompanija je o incidentu obavijestila organe za provođenje zakona i relevantne regulatore. Ona sama preporučuje korisnicima da glavna lozinka ne bude kraća od 12 znakova, da promijene postavke standarda za generiranje ključeva funkcije Password-Based Key Derivation Function (PBKDF2) i, naravno, da ne koriste glavnu lozinku na drugim stranicama. Date su detaljnije aktuelne preporuke na blogu servisa.
Možete pomoći Ukrajini u borbi protiv ruskih osvajača. Najbolji način da to učinite je da donirate sredstva Oružanim snagama Ukrajine putem Savelife ili preko službene stranice NBU.