LastPassi on kolme kuu jooksul häkitud teist korda. Seda kasutab üle 30 miljoni inimese üle maailma. Paroolihaldur LastPass tunnistas, et häkkerid varastasid kasutajate paroolide ja muude tundlike andmete, sealhulgas kasutajate arveldusaadresside, telefoninumbrite ja IP-aadresside krüpteeritud koopiaid. Algul häkiti süsteemi veel augustis, novembri lõpus - detsembri alguses ilmus info selle kohta, milliseid andmeid varastati ning nüüd on ettevõtte ajaveebi üksikasjad avaldanud.
Häkitud on paroolihaldur LastPass, mis osutus häkkerite endi jaoks väga edukaks, kasutaja andmeteni õnnestus pääseda, kuid mis täpselt, pole veel teada. Tõenäoliselt on neil nüüd juurdepääs paroolidele, mida teenuse kasutajad oma profiilidesse salvestavad.
Infot LastPassi häkkimise ja kasutajaandmete kompromiteerimise kohta kinnitasid ka teenuse enda esindajad. Need aga varjavad hoolikalt nii lekke ulatust kui ka ründajate kätte sattunud info olemust, nii et praegu on ohus eranditult kõik LastPassi kasutajad, kelleks on miljoneid inimesi üle maailma. Portaali EarthWeb andmetel oli LastPassi kasutajaskond 2022. aasta oktoobri seisuga 33 miljonit inimest.
Materjali avaldamise ajaks LastPassi esindajad ei kinnitanud, kuid ei eitanud ka nende isiklikus veebimälus asuvate kasutajate paroolide lekkimist. Siiski on oht, et häkkerite rünnak on just selline. Lisaks, võttes arvesse asjaolu, et LastPass on oma 14 tegutsemisaasta jooksul lubanud paroolide lekitamist rohkem kui korra, on risk antud juhul suur.
Mida ma peaksin tegema?
Esimese asjana peavad kasutajad nägema, millised paroolid on pilves salvestatud, ja muutma neid võimalikult kiiresti, enne kui ründajad nendeni jõuavad. Paljud inimesed salvestavad sellistesse halduritesse näiteks paroole internetipangast või ettevõtte e-postist.
Teine samm on leida, kui mitte LastPassi asendus, siis vähemalt paroolide varuhaldur nende hulgast, mis töötavad võrguühenduseta. Sellised programmid salvestavad paroolide andmebaasi otse kasutaja seadmesse (sageli krüpteeritud kujul), mis vähendab oluliselt selle sisu lekkimise ohtu.
Paroolihaldurid võimaldavad kasutajatel salvestada oma kasutajanimed ja paroolid erinevatel saitidel ühte kohta – sellele pääseb juurde kasutaja loodud peaparooliga. Last Pass ei salvesta ega kõrvalda peaparooli. Muid krüptitud andmeid saab hankida ainult "kasutaja peaparoolist saadud unikaalse krüpteerimisvõtmega". Ettevõte hoiatas aga kliente, et nad võivad sattuda sotsiaalse manipuleerimise, andmepüügi ja muude teabe hankimise meetodite ohvriks. Lisaks saavad häkkerid kasutada jõhkra jõu rünnakut, et saada põhiparool ja dekrüpteerida muud krüptitud salvestusruumis asuvad andmed. LastPass aga väidab, et ründajatel kulub avalikult kättesaadavate häkkimistehnikate abil parooli ära arvamiseks "miljoneid aastaid".
Ettevõte teatas, et juhtumit uurib küberturvalisust pakkuv ettevõte Mandiant ning LastPass ise ehitab kogu töökeskkonna täielikult ümber – see viitab kaudselt, et häkkerid jõudsid oluliste koodijuppide ja muude andmeteni.
LastPass ütles ka, et uurimine on pooleli ning ettevõte on juhtunust teavitanud õiguskaitseorganiid ja asjaomaseid reguleerijaid. Ta ise soovitab kasutajatel teha põhiparooli mitte lühemaks kui 12 tähemärki, muuta paroolipõhise võtme tuletamise funktsiooni (PBKDF2) võtme genereerimise standardi sätteid ja loomulikult mitte kasutada peaparooli teistel saitidel. Antakse üksikasjalikumad praegused soovitused teenindusblogis.
Saate aidata Ukrainal võidelda Vene sissetungijate vastu. Parim viis selleks on annetada raha Ukraina relvajõududele läbi Päästa elu või ametliku lehe kaudu NBU.