Το LastPass παραβιάστηκε για δεύτερη φορά μέσα σε τρεις μήνες. Χρησιμοποιείται από περισσότερους από 30 εκατομμύρια ανθρώπους σε όλο τον κόσμο. Ο διαχειριστής κωδικών LastPass έχει αναγνωρίσει ότι οι χάκερ έκλεψαν κρυπτογραφημένα αντίγραφα των κωδικών πρόσβασης χρηστών και άλλων ευαίσθητων δεδομένων, συμπεριλαμβανομένων των διευθύνσεων χρέωσης, αριθμών τηλεφώνου και διευθύνσεων IP των χρηστών. Αρχικά, το σύστημα παραβιάστηκε τον Αύγουστο, στα τέλη Νοεμβρίου - στις αρχές Δεκεμβρίου, εμφανίστηκαν πληροφορίες σχετικά με τα δεδομένα που είχαν κλαπεί και τώρα το ιστολόγιο της εταιρείας δημοσίευσε τις λεπτομέρειες.
Ο διαχειριστής κωδικών πρόσβασης LastPass έχει χακαριστεί, κάτι που αποδείχθηκε πολύ επιτυχημένο για τους ίδιους τους χάκερ, κατάφεραν να φτάσουν στα δεδομένα του χρήστη, αλλά δεν είναι ακόμη γνωστό τι ακριβώς. Είναι πιθανό να έχουν πλέον πρόσβαση στους κωδικούς πρόσβασης που αποθηκεύουν οι χρήστες της υπηρεσίας στα προφίλ τους.
Οι πληροφορίες για το χακάρισμα του LastPass και τον παραβιασμό των δεδομένων των χρηστών επιβεβαιώθηκαν και από τους εκπροσώπους της ίδιας της υπηρεσίας. Ωστόσο, κρύβουν προσεκτικά τόσο την έκταση της διαρροής όσο και τη φύση των πληροφοριών που κατέληξαν στα χέρια των εισβολέων, έτσι προς το παρόν όλοι οι χρήστες του LastPass ανεξαιρέτως, που είναι εκατομμύρια άνθρωποι σε όλο τον κόσμο, κινδυνεύουν. Σύμφωνα με την πύλη EarthWeb, από τον Οκτώβριο του 2022, η βάση χρηστών του LastPass αριθμούσε 33 εκατομμύρια άτομα.
Μέχρι τη στιγμή που κυκλοφόρησε το υλικό, οι εκπρόσωποι του LastPass δεν επιβεβαίωσαν, αλλά δεν αρνήθηκαν τη διαρροή των κωδικών πρόσβασης των χρηστών που βρίσκονται στην προσωπική τους ηλεκτρονική αποθήκευση. Ωστόσο, υπάρχει κίνδυνος για ένα τέτοιο αποτέλεσμα επίθεσης χάκερ. Επιπλέον, λαμβάνοντας υπόψη το γεγονός ότι το LastPass επέτρεψε τη διαρροή κωδικών πρόσβασης περισσότερες από μία φορές στα 14 χρόνια ύπαρξής του, ο κίνδυνος σε αυτή την περίπτωση είναι υψηλός.
Τι πρέπει να κάνω?
Το πρώτο πράγμα που πρέπει να κάνουν οι χρήστες είναι να δουν ποιοι κωδικοί πρόσβασης είναι αποθηκευμένοι στο cloud και να τους αλλάξουν όσο το δυνατόν γρηγορότερα προτού οι επιτιθέμενοι φτάσουν σε αυτούς συγκεκριμένα. Πολλοί άνθρωποι, για παράδειγμα, αποθηκεύουν κωδικούς πρόσβασης από μια τράπεζα Διαδικτύου ή εταιρικό e-mail σε τέτοιους διαχειριστές.
Το δεύτερο βήμα είναι να βρείτε, αν όχι έναν αντικαταστάτη του LastPass, τότε τουλάχιστον έναν εφεδρικό διαχειριστή κωδικών πρόσβασης από αυτούς που λειτουργούν εκτός σύνδεσης. Τέτοια προγράμματα αποθηκεύουν τη βάση δεδομένων των κωδικών πρόσβασης απευθείας στη συσκευή του χρήστη (συχνά σε κρυπτογραφημένη μορφή), γεγονός που μειώνει σημαντικά τον κίνδυνο διαρροής του περιεχομένου της.
Οι διαχειριστές κωδικών πρόσβασης επιτρέπουν στους χρήστες να αποθηκεύουν τα ονόματα χρήστη και τους κωδικούς πρόσβασής τους σε διαφορετικούς ιστότοπους σε ένα μέρος - πρόσβαση με έναν κύριο κωδικό πρόσβασης που έχει δημιουργηθεί από το χρήστη. Το Last Pass δεν αποθηκεύει ούτε απορρίπτει τον κύριο κωδικό πρόσβασης. Άλλα κρυπτογραφημένα δεδομένα μπορούν να ανακτηθούν μόνο χρησιμοποιώντας ένα "μοναδικό κλειδί κρυπτογράφησης που λαμβάνεται από τον κύριο κωδικό πρόσβασης του χρήστη". Ωστόσο, η εταιρεία προειδοποίησε τους πελάτες ότι θα μπορούσαν να γίνουν θύματα κοινωνικής μηχανικής, phishing και άλλων μεθόδων απόκτησης πληροφοριών. Επιπλέον, οι χάκερ μπορούν να χρησιμοποιήσουν μια επίθεση ωμής βίας για να αποκτήσουν τον κύριο κωδικό πρόσβασης και να αποκρυπτογραφήσουν άλλα δεδομένα που βρίσκονται στην κρυπτογραφημένη αποθήκευση. Ωστόσο, το LastPass ισχυρίζεται ότι θα χρειαστούν «εκατομμύρια χρόνια» οι εισβολείς για να μαντέψουν έναν κωδικό πρόσβασης χρησιμοποιώντας δημόσια διαθέσιμες τεχνικές hacking.
Η εταιρεία είπε ότι η Mandiant, μια εταιρεία που παρέχει ασφάλεια στον κυβερνοχώρο, ερευνά το περιστατικό και ότι το ίδιο το LastPass αναδομεί πλήρως ολόκληρο το εργασιακό περιβάλλον - αυτό δείχνει έμμεσα ότι οι χάκερ έφτασαν σε σημαντικά κομμάτια κώδικα και άλλα δεδομένα.
Η LastPass είπε επίσης ότι η έρευνα βρίσκεται σε εξέλιξη και η εταιρεία έχει ενημερώσει τις αρχές επιβολής του νόμου και τις αρμόδιες ρυθμιστικές αρχές για το περιστατικό. Η ίδια συνιστά στους χρήστες να κάνουν τον κύριο κωδικό πρόσβασης όχι μικρότερο από 12 χαρακτήρες, να αλλάζουν τις ρυθμίσεις του προτύπου δημιουργίας κλειδιού με βάση τον κωδικό πρόσβασης (PBKDF2) και, φυσικά, να μην χρησιμοποιούν τον κύριο κωδικό πρόσβασης σε άλλους ιστότοπους. Δίνονται πιο λεπτομερείς τρέχουσες συστάσεις στο ιστολόγιο υπηρεσιών.
Μπορείτε να βοηθήσετε την Ουκρανία να πολεμήσει ενάντια στους Ρώσους εισβολείς. Ο καλύτερος τρόπος για να γίνει αυτό είναι να δωρίσετε χρήματα στις Ένοπλες Δυνάμεις της Ουκρανίας μέσω Savelife ή μέσω της επίσημης σελίδας NBU.