LastPass каже, що хакери вкрали сховища паролів клієнтів • TechCrunch

Гігант менеджерів паролів LastPass підтвердив, що кіберзлочинці викрали зашифровані сховища паролів його клієнтів, які зберігають паролі клієнтів та інші секрети, під час витоку даних на початку цього року.

В оновленому дописі в блозі про це розкриття генеральний директор LastPass Карім Тубба сказав, що зловмисники зробили копію резервної копії даних клієнтського сховища за допомогою ключів хмарного сховища, вкрадених у співробітника LastPass. Кеш сховищ паролів клієнтів зберігається у «власному двійковому форматі», який містить як незашифровані, так і зашифровані дані сховища, але технічні деталі та деталі безпеки цього власного формату не вказано. Незашифровані дані включають веб-адреси, що зберігаються в сховищі, але LastPass не повідомляє більше або в якому контексті. Неясно, наскільки свіжі викрадені резервні копії.

LastPass сказав, що сховища паролів клієнтів зашифровані та можуть бути розблоковані лише за допомогою головного пароля клієнта, який відомий лише клієнту. Але компанія попередила, що кіберзлочинці, які стоять за вторгненням, «можуть спробувати застосувати грубу силу, щоб вгадати ваш головний пароль і розшифрувати копії даних сховища, які вони взяли».

Тубба сказав, що кіберзлочинці також заволоділи величезними масивами даних клієнтів, включаючи імена, адреси електронної пошти, номери телефонів і деяку платіжну інформацію.

Менеджери паролів надзвичайно корисні для зберігання ваших паролів, які мають бути довгими, складними та унікальними для кожного сайту чи служби. Але подібні інциденти безпеки є нагадуванням про те, що не всі менеджери паролів створені однаковими і можуть бути атаковані або скомпрометовані різними способами. З огляду на те, що модель загрози в кожного різна, жодна особа не матиме таких самих вимог, як інша.

У рідкісній ситуації (не друкарській помилці), подібній до цієї — яку ми описали під час аналізу повідомлення про порушення даних LastPass — якщо зловмисник має доступ до зашифрованих сховищ паролів клієнтів, «все, що їм знадобиться, це головний пароль жертви». Розкрите або скомпрометоване сховище паролів настільки надійне, наскільки надійне шифрування — і пароль — використане для його кодування.

Найкраще, що ви можете зробити як клієнт LastPass, це змінити свій поточний головний пароль LastPass на новий унікальний пароль (або парольну фразу), який записаний і зберігається в безпечному місці. Це означає, що ваше поточне сховище LastPass захищено.

Якщо ви вважаєте, що ваше сховище паролів LastPass може бути скомпрометовано — наприклад, якщо ваш головний пароль слабкий або ви використовували його деінде, — вам слід почати змінювати паролі, які зберігаються у вашому сховищі LastPass. Почніть з найбільш важливих облікових записів, таких як облікові записи електронної пошти, ваш тарифний план мобільного телефону, ваші банківські рахунки та ваші облікові записи в соціальних мережах, і рухайтеся вниз у списку пріоритетів.

Хороша новина полягає в тому, що будь-який обліковий запис, захищений за допомогою двофакторної автентифікації, значно ускладнить доступ зловмисника до ваших облікових записів без цього другого фактора, наприклад спливаючого вікна телефону або текстового повідомлення або електронної пошти з кодом. Ось чому важливо спочатку захистити ці облікові записи другого фактора, як-от ваші облікові записи електронної пошти та облікові записи тарифного плану мобільного телефону.

Leave a Comment