پیامدهای نقض داده های LastPass در سال 2022 ممکن است حتی بیشتر از آنچه در ابتدا تصور می شد رادیواکتیو باشد. در اینجا چیزی است که شما باید بدانید.
شرکت مادر سرویس مدیریت رمز عبور، LastPass، که در اواخر سال 2022 فاش کرد که انبارهای رمز عبور کل پایگاه مشتریانش اکنون در دست مجرمان است، اعلام کرده است که کلیدهای رمزگذاری برخی دیگر از محصولاتش نیز به خطر افتاده است.
این برای کاربرانش چه معنایی دارد؟
نقض داده LastPass 2022 چه بود؟
LastPass و مشتریانش بهترین سال 2022 را سپری نکردند. در ماه آگوست، این شرکت در یک پست وبلاگی اعلام کرد که مجرمان به محیط توسعه LastPass، کد منبع و اطلاعات فنی دسترسی داشته اند. این زبان اطمینان‌بخش بود و از “فعالیت غیرمعمول” و این حادثه به عنوان “یک تحول” یاد می‌کرد. بخش پرسش‌های متداول به مشتریان اطمینان داد که خزانه‌ها، گذرواژه‌ها و گذرواژه‌های اصلی آن‌ها ایمن هستند، در حالی که بیان می‌کرد: «ما هیچ اقدامی را از طرف کاربران یا مدیران خود توصیه نمی‌کنیم».
یک ماه بعد، پس از تحقیق در همکاری با Mandiant، پست اصلی وبلاگ به‌روزرسانی شد تا کاربران LastPass را راحت‌تر نشان دهند که «هیچ مدرکی دال بر دسترسی به داده‌های مشتری یا مخازن رمزهای رمزگذاری‌شده در این رویداد» وجود ندارد و کاربران بیشتر مورد حمایت قرار گرفتند. با اذعان به اینکه، “هر نوع حوادث امنیتی ناراحت کننده هستند، اما [ما] می خواهیم به شما اطمینان دهیم که داده های شخصی و گذرواژه های شما در مراقبت ما ایمن هستند.”
با این حال، در اواخر نوامبر 2022، وبلاگ بار دیگر به روز شد، در اعترافاتی که متجاوزان موفق شده بودند با “عناصر خاصی از اطلاعات مشتریان ما” مقابله کنند.
در نهایت، در یک به‌روزرسانی در دسامبر 2022، LastPass به این واقعیت دست یافت که مجرمان توانسته‌اند از انبارهای اطلاعات شخصی میلیون‌ها مشتری، حاوی آدرس‌های اینترنتی و نام‌های سایت رمزگذاری‌نشده، همچنین نام‌های کاربری و رمزهای عبور رمزگذاری‌شده، همراه با داده‌های پشتیبان از جمله نفوذ کنند. نام مشتری، آدرس و شماره تلفن، آدرس ایمیل، آدرس IP و شماره کارت اعتباری جزئی.
باز هم، LastPass به دنبال جلوگیری از آسیب‌های اعتباری بود و اظهار داشت که «میلیون‌ها سال طول می‌کشد تا رمز عبور اصلی شما با استفاده از فناوری شکستن رمز عبور عمومی در دسترس حدس بزند.»
بدتر از آن برای کاربران LastPass؟
LastPass یک شرکت مستقل است که متعلق به GoTo (ارائه‌دهنده SaaS، سابقاً LogMeIn) است، و در حالی که نفوذ LastPass بیشترین توجه را به خود جلب کرده است، نفوذ اولیه یک سرویس ذخیره‌سازی ابری شخص ثالث بود که توسط هر دو GoTo استفاده می‌شود. و LastPass. همانطور که LastPass به خطر افتاد، GoTo نیز به خطر افتاد. عوامل تهدید موفق به استخراج پشتیبان های رمزگذاری شده از هر دو شرکت شدند.
در 23 ژانویه 2023، GoTo بیانیه‌ای در وبلاگ خود منتشر کرد که در آن اظهار داشت که “شواهدی دارد که یک عامل تهدید از یک کلید رمزگذاری برای بخشی از نسخه‌های پشتیبان رمزگذاری شده استفاده کرده است” و همچنین تنظیمات تأیید اعتبار چند عاملی (MFA) یک زیرمجموعه کوچک مشتریانشان تحت تاثیر قرار گرفتند.
این بدان معنی است که مجرمان به راحتی می توانند کالاهای دزدیده شده خود را بدون نیاز به میلیون ها سال صبر برای انجام این کار رمزگشایی کنند.
مشخص نیست که آیا کلیدهای رمزگذاری طاق LastPass نیز استخراج شده اند یا خیر.
گزارش‌هایی مبنی بر در معرض خطر قرار گرفتن Vaults LastPass
تقریباً به محض انتشار به‌روزرسانی ماه دسامبر، خوانندگان با MUO تماس گرفتند و ادعا کردند که رمزهای عبور یک‌بار ذخیره‌شده فقط در خزانه‌های LastPass توسط مجرمان برای دسترسی به حساب‌های آنلاین استفاده می‌شوند که منجر به حملات تعویض سیم‌کارت می‌شود.
در توییتر، کاربران گزارش دادند که کیف پول‌های کریپتو مورد حمله قرار گرفته و محتویات آن‌ها تخلیه می‌شود – طبق گزارش‌ها، این دانه‌ها تنها در خزانه‌های LastPass ذخیره می‌شدند.
هنوز LastPass به این شایعات و افشاگری های شرکت مادر خود توجهی نکرده است.
GoTo حداقل شروع به تماس با کاربران آسیب دیده کرده است و همه رمزهای عبور به طور خودکار بازنشانی شده اند.
رمز عبور خود را برای همه چیز تغییر دهید
خدمات مدیریت رمز عبور برای ایمن نگه داشتن رمزهای عبور شما و غیرقابل حدس زدن وجود دارد. اگر مجرمان کلید آن خزانه را دارند، پس گذرواژه‌های شما هر کسی است که می‌تواند هر طور که می‌خواهد استفاده کند.
اولین کاری که باید انجام دهید این است که رمز عبور خود را برای هر سرویسی که تا به حال به صورت آنلاین به آن دسترسی داشته اید تغییر دهید. در صورت امکان، باید از یک نام کاربری و آدرس ایمیل منحصر به فرد نیز استفاده کنید.
این هرگز ایده خوبی نیست که عمیق ترین اسرار خود را به شخص دیگری بسپارید تا از آن محافظت کند. BitWarden یک مدیر رمز عبور است که می توانید آن را روی سخت افزار خود میزبانی کنید و نام کاربری، نام مستعار ایمیل و رمز عبور را برای هر سایتی که بازدید می کنید ایجاد می کند. همانطور که آن را روی دستگاه خود اجرا می کنید، لازم نیست رمزهای عبور خود را به مراقبت مشکوک شرکت دیگری بسپارید.