Lastpass Saldırısı, Şirketin İlk Bildirdiğinden Daha Kötüydü

Çünkü tabii ki öyleydi.

Parola yöneticisi uygulaması Lastpass, bu Ağustos’ta uzun yıllar içinde ikinci kez saldırıya uğradıktan sonra Perşembe günü yaptığı duyuruda, en son izinsiz girişin, saldırganların bazı durumlarda kullanıcıların parola kasalarını çalmasıyla başlangıçta bildirilenden çok daha fazla zarar verdiğini duyurdu. Bu, hırsızların, bunların kilidini açmanın acil yöntemi olmasa da, insanların tüm şifrelenmiş kişisel veri koleksiyonlarına sahip olduğu anlamına gelir.

LastPass CEO’su Karim Toubba, “Ağustos 2022 olayı sırasında hiçbir müşteri verisine erişilmedi” dedi. Bununla birlikte, uygulamanın kaynak kodunun bir kısmı kaldırıldı ve ardından bir Lastpass çalışanının erişim kimlik bilgilerinden vazgeçmesi için spearphishing için kullanıldı, ardından bu anahtarları şifresini çözmek ve “bulut tabanlı depolama hizmetindeki bazı depolama birimlerini” kopyalamak için kullandı.

Bilgisayar korsanları tarafından elde edilen şifrelenmiş veriler arasında şirket adları, fatura, e-posta ve IP adresleri gibi temel müşteri hesap bilgileri; ve telefon numaraları, diye devam etti Toubba. Toubba, “Bu şifrelenmiş alanlar, 256-bit AES şifreleme ile korunuyor ve yalnızca Zero Knowledge mimarimiz kullanılarak her kullanıcının ana parolasından türetilen benzersiz bir şifreleme anahtarıyla çözülebilir.” dedi. “Bir hatırlatma olarak, ana parola LastPass tarafından asla bilinmez ve LastPass tarafından depolanmaz veya korunmaz.”

Yine de, şirketin sözüne inanacak mısın? Değilim. Zahmetli olacak, ancak mevcut tüm site şifrelerinizi yenileriyle değiştirmek – ve yeni bir ana şifre seçmek – nihayetinde çevrimiçi güvenliğinizi yeniden kazanmak için gerekli olabilir. Veya Lastpass’a kayaları tekmelemesini ve 1Password veya Bitwarden’a geçmesini söyleyebilirsiniz.