Parola yöneticisi hizmetinin ana şirketi LastPass, 2022'nin sonlarında şifre kasalarının tamamının ortaya çıktığını ortaya çıkardı. müşteri tabanı artık suçluların elindeydi, diğer bazı ürünlerinin şifreleme anahtarlarının ele geçirildiğini duyurdu. taviz verdi.
Bu, kullanıcıları için ne anlama geliyor?
2022 LastPass Veri İhlali Neydi?
LastPass ve müşterileri 2022'de en iyi yılı geçirmediler. Ağustos ayında, şirket abartısız bir şekilde duyurdu Blog yazısı suçluların LastPass geliştirme ortamına, kaynak koduna ve teknik bilgilere eriştiği. Dil güven vericiydi ve "olağandışı faaliyet" ve olaydan "bir gelişme" olarak söz edildi. Bir SSS bölümü, müşterilere kasalarının, şifrelerinin ve ana şifrelerinin güvende olduğu konusunda güvence verirken, "kullanıcılarımız veya yöneticilerimiz adına herhangi bir işlem yapılmasını önermiyoruz" ifadesini kullandı.
Bir ay sonra, Mandiant ile ortaklaşa yapılan bir soruşturmanın ardından, LastPass kullanıcılarını daha fazla rahatlatmak için orijinal blog gönderisi güncellendi. "bu olayın müşteri verilerine veya şifreli şifre kasalarına herhangi bir erişim içerdiğine dair hiçbir kanıt yoktu" ve ayrıca kullanıcıların "Her türden güvenlik olayı rahatsız edicidir, ancak [biz] kişisel verilerinizin ve parolalarınızın güvenliğimizde güvende olduğundan emin olmak istiyoruz." bakım."
Bununla birlikte, Kasım 2022'nin sonlarında, davetsiz misafirlerin "müşterilerimizin bilgilerinin belirli unsurlarıyla" dalga geçmeyi başardıkları bir itirafla blog bir kez daha güncellendi.
Nihayet, Aralık 2022 güncellemesinde, LastPass sahiplendi suçluların milyonlarca müşterinin şifrelenmemiş web sitesi URL'lerini ve site adlarını içeren kişisel veri kasalarını ve ayrıca müşteri adları, adresler ve telefon numaraları, e-posta adresleri, IP adresleri ve kısmi kredi kartı gibi yedek verilerle birlikte şifrelenmiş kullanıcı adları ve parolalar sayılar.
Yine LastPass, "genel olarak mevcut şifre kırma teknolojisini kullanarak ana şifrenizi tahmin etmenin milyonlarca yıl süreceğini" belirterek itibar hasarını kontrol altına almaya çalıştı.
LastPass Kullanıcıları İçin Gelecek Daha mı Kötü?
LastPass bir GoTo'nun sahibi olduğu bağımsız şirket (eski adıyla LogMeIn olarak bilinen bir SaaS sağlayıcısı) ve LastPass ihlali en çok Dikkat, ilk sızma, hem GoTo hem de GoTo tarafından kullanılan üçüncü taraf bir bulut depolama hizmetiydi. Son Geçiş. LastPass'in güvenliği ihlal edildiğinden, GoTo da öyleydi. Tehdit aktörleri, her iki şirketten de şifrelenmiş yedekleri sızdırmayı başardı.
23 Ocak 2023'te, GoTo blogunda bir açıklama yayınladı "bir tehdit aktörünün şifrelenmiş yedeklemelerin bir kısmı için bir şifreleme anahtarını sızdırdığına dair kanıt" olduğunu ve ek olarak Çok Faktörlü Kimlik Doğrulama (MFA) ayarları müşterilerinin küçük bir alt kümesi etkilendi.
Bunun anlamı, suçluların çalınan mallarının şifresini milyonlarca yıl beklemeye gerek kalmadan kolayca çözebilmeleridir.
LastPass kasa şifreleme anahtarlarının da dışarı sızıp sızmadığı belirsiz.
LastPass Kasalarının Ele Geçirildiğine İlişkin Raporlar
Aralık güncellemesi yayınlanır yayınlanmaz, okuyucular tek seferlik parolaların kullanılamayacağını iddia ederek MUO ile iletişime geçti. yalnızca LastPass kasalarında saklanan suçlular tarafından çevrimiçi hesaplara erişmek için kullanılıyordu ve bu da SIM takasına neden oluyordu saldırılar.
Twitter'da kullanıcılar, kripto cüzdanlarının saldırıya uğradığını ve içeriklerinin boşaltıldığını bildirdi - bu tohumların yalnızca LastPass kasalarında saklandığı bildirildi.
LastPass henüz bu söylentilere veya ana şirketinin açıklamalarına değinmedi.
GoTo en azından etkilenen kullanıcılarla iletişim kurmaya başladı ve tüm şifreler otomatik olarak sıfırlandı.
Her Şey İçin Parolalarınızı Değiştirin
Parolalarınızı güvenli ve tahmin edilemez tutmak için parola yönetimi hizmetleri mevcuttur. Suçlular o kasanın anahtarlarına sahipse, o zaman şifreleriniz herkes tarafından dilediği gibi kullanılabilir.
Yapmanız gereken ilk şey, çevrimiçi olarak eriştiğiniz her hizmet için şifrelerinizi değiştirmek. Mümkün olduğunda, benzersiz bir kullanıcı adı ve e-posta adresi de kullanmalısınız.
En derin sırlarınızı koruması için bir başkasına emanet etmek asla iyi bir fikir değildir. BitWarden, kendi donanımınızda barındırabileceğiniz ve ziyaret ettiğiniz her site için kullanıcı adları, e-posta takma adları ve parolalar oluşturacak bir parola yöneticisidir. Kendi makinenizde çalıştırdığınız için, şifrelerinizi başka bir şirketin şüpheli bakımına bırakmak zorunda değilsiniz.