LastPass برای دومین بار در سه ماه گذشته هک شد. بیش از 30 میلیون نفر در سراسر جهان از آن استفاده می کنند. مدیر رمز عبور LastPass اذعان کرده است که هکرها کپی های رمزگذاری شده رمز عبور کاربر و سایر داده های حساس از جمله آدرس صورتحساب، شماره تلفن و آدرس IP کاربران را به سرقت برده اند. در ابتدا، این سیستم در ماه اوت، در پایان نوامبر هک شد - در ابتدای دسامبر، اطلاعاتی در مورد اینکه چه اطلاعاتی به سرقت رفته بود ظاهر شد، و اکنون وبلاگ این شرکت جزئیات را منتشر کرده است.
مدیر رمز عبور LastPass هک شده است که برای خود هکرها بسیار موفق بود، آنها موفق شدند به داده های کاربر برسند، اما هنوز دقیقاً مشخص نیست. به احتمال زیاد آنها اکنون به رمزهای عبوری که کاربران سرویس در پروفایل خود ذخیره می کنند دسترسی دارند.
اطلاعات مربوط به هک LastPass و به خطر افتادن اطلاعات کاربران نیز توسط نمایندگان خود سرویس تایید شد. با این حال، آنها به دقت هم میزان نشت و هم ماهیت اطلاعاتی را که به دست مهاجمان رسیده است پنهان می کنند، بنابراین در حال حاضر همه کاربران LastPass بدون استثنا، که میلیون ها نفر در سراسر جهان هستند، در معرض خطر هستند. طبق پورتال EarthWeb، تا اکتبر 2022، تعداد کاربران LastPass به 33 میلیون نفر رسیده است.
در زمان انتشار مطالب، نمایندگان LastPass تایید نکردند، اما نشت رمز عبور کاربران واقع در فضای ذخیره آنلاین شخصی آنها را رد نکردند. با این حال، خطر چنین نتیجه ای از حمله هکر وجود دارد. علاوه بر این، با در نظر گرفتن این واقعیت که LastPass در 14 سال عمر خود اجازه داده است که رمزهای عبور بیش از یک بار درز کند، خطر در این مورد بالا است.
چه کار کنم؟
اولین کاری که کاربران باید انجام دهند این است که ببینند کدام گذرواژه ها در فضای ابری ذخیره می شوند و قبل از اینکه مهاجمان به طور خاص به آنها دسترسی پیدا کنند، آنها را در اسرع وقت تغییر دهند. به عنوان مثال، بسیاری از افراد رمزهای عبور را از یک بانک اینترنتی یا ایمیل شرکتی در چنین مدیرانی ذخیره می کنند.
گام دوم این است که اگر جایگزینی برای LastPass نباشد، حداقل یک مدیر رمز عبور پشتیبان از میان آنهایی که به صورت آفلاین کار می کنند، پیدا کنید. چنین برنامه هایی پایگاه داده رمزهای عبور را مستقیماً در دستگاه کاربر (اغلب به صورت رمزگذاری شده) ذخیره می کنند که به طور قابل توجهی خطر لو رفتن محتویات آن را کاهش می دهد.
مدیران گذرواژه به کاربران اجازه می‌دهند نام‌های کاربری و رمزهای عبور خود را در سایت‌های مختلف در یک مکان ذخیره کنند - که با رمز عبور اصلی ایجاد شده توسط کاربر قابل دسترسی است. Last Pass رمز عبور اصلی را ذخیره یا دفع نمی کند. سایر داده های رمزگذاری شده را فقط می توان با استفاده از "کلید رمزگذاری منحصر به فرد بدست آمده از رمز عبور اصلی کاربر" بازیابی کرد. با این حال، این شرکت به مشتریان هشدار داد که ممکن است قربانی مهندسی اجتماعی، فیشینگ و سایر روش‌های کسب اطلاعات شوند. علاوه بر این، هکرها می توانند از یک حمله brute force برای به دست آوردن رمز عبور اصلی و رمزگشایی سایر داده های موجود در ذخیره سازی رمزگذاری شده استفاده کنند. با این حال، LastPass ادعا می کند که مهاجمان "میلیون ها سال" طول می کشد تا رمز عبور را با استفاده از تکنیک های هک در دسترس عموم حدس بزنند.
این شرکت گفت که Mandiant، یک شرکت تامین کننده امنیت سایبری، در حال بررسی این حادثه است و LastPass خود در حال بازسازی کامل محیط کاری است - این به طور غیرمستقیم نشان می دهد که هکرها به قطعات قابل توجهی از کد و سایر داده ها دست یافته اند.
LastPass همچنین گفت که تحقیقات در حال انجام است و این شرکت مجری قانون و تنظیم کننده های مربوطه را در مورد این حادثه مطلع کرده است. او خود به کاربران توصیه می کند رمز عبور اصلی را کمتر از 12 کاراکتر تنظیم کنند، تنظیمات استاندارد تولید کلید تابع استخراج کلید مبتنی بر رمز عبور (PBKDF2) را تغییر دهند و البته از رمز عبور اصلی در سایت های دیگر استفاده نکنند. توصیه های فعلی دقیق تر ارائه شده است در وبلاگ خدمات.
شما می توانید به اوکراین در مبارزه با مهاجمان روسی کمک کنید. بهترین راه برای انجام این کار، کمک مالی به نیروهای مسلح اوکراین است Savelife یا از طریق صفحه رسمی NBU.