LastPass ir uzlauzts otro reizi trīs mēnešu laikā. To izmanto vairāk nekā 30 miljoni cilvēku visā pasaulē. Paroļu pārvaldnieks LastPass ir atzinis, ka hakeri nozaguši lietotāju paroļu un citu sensitīvu datu šifrētas kopijas, tostarp lietotāju norēķinu adreses, tālruņu numurus un IP adreses. Sākumā sistēma tika uzlauzta vēl augustā, novembra beigās - decembra sākumā parādījās informācija par to, kādi dati ir nozagti, un tagad uzņēmuma blogs publicējis sīkāku informāciju.
Ir uzlauzts paroļu pārvaldnieks LastPass, kas pašiem hakeriem izrādījies ļoti veiksmīgs, izdevies tikt pie lietotāja datiem, taču vēl nav zināms, kas tieši. Visticamāk, ka tagad viņiem ir pieejamas paroles, kuras servisa lietotāji glabā savos profilos.
Informāciju par LastPass uzlaušanu un lietotāju datu kompromitēšanu apstiprināja arī paša servisa pārstāvji. Tomēr tie rūpīgi slēpj gan noplūdes apjomu, gan uzbrucēju rokās nonākušās informācijas raksturu, tāpēc pagaidām visi LastPass lietotāji bez izņēmuma, kas ir miljoniem cilvēku visā pasaulē, ir pakļauti riskam. Saskaņā ar EarthWeb portālu, 2022. gada oktobrī LastPass lietotāju bāze bija 33 miljoni cilvēku.
Līdz materiāla izlaišanai LastPass pārstāvji neapstiprināja, bet nenoliedza to lietotāju paroļu noplūdi, kas atrodas viņu personīgajā tiešsaistes krātuvē. Tomēr pastāv risks, ka tieši šāds hakeru uzbrukuma rezultāts. Turklāt, ņemot vērā to, ka LastPass 14 pastāvēšanas gados ne reizi vien pieļāvis paroļu nopludināšanu, risks šajā gadījumā ir augsts.
Ko man darīt?
Pirmā lieta, kas lietotājiem jādara, ir redzēt, kuras paroles tiek glabātas mākonī, un pēc iespējas ātrāk tās nomainīt, pirms uzbrucēji tās īpaši piekļūst. Tādos pārvaldniekos daudzi, piemēram, saglabā paroles no internetbankas vai korporatīvā e-pasta.
Otrais solis ir atrast, ja ne aizstājēju LastPass, tad vismaz rezerves paroļu pārvaldnieku no tiem, kas darbojas bezsaistē. Šādas programmas paroļu datubāzi glabā tieši lietotāja ierīcē (bieži vien šifrētā veidā), kas ievērojami samazina tās satura noplūdes risku.
Paroļu pārvaldnieki ļauj lietotājiem glabāt savus lietotājvārdus un paroles dažādās vietnēs vienuviet – tai var piekļūt, izmantojot lietotāja izveidoto galveno paroli. Last Pass nesaglabā un neatbrīvo galveno paroli. Citus šifrētos datus var izgūt, tikai izmantojot "unikālo šifrēšanas atslēgu, kas iegūta no lietotāja galvenās paroles". Tomēr uzņēmums brīdināja klientus, ka viņi var kļūt par sociālās inženierijas, pikšķerēšanas un citu informācijas iegūšanas metožu upuriem. Turklāt hakeri var izmantot brutāla spēka uzbrukumu, lai iegūtu galveno paroli un atšifrētu citus datus, kas atrodas šifrētajā krātuvē. Tomēr LastPass apgalvo, ka uzbrucējiem būs nepieciešami "miljoniem gadu", lai uzminētu paroli, izmantojot publiski pieejamus uzlaušanas paņēmienus.
Uzņēmums norādīja, ka Kiberdrošības uzņēmums Mandiant izmeklē notikušo un ka LastPass pati pilnībā pārbūvē visu darba vidi – tas netieši norāda, ka hakeri nokļuvuši pie nozīmīgām koda daļām un citiem datiem.
LastPass arī sacīja, ka turpinās izmeklēšana, un uzņēmums par notikušo ir informējis tiesībsargājošās iestādes un attiecīgos regulatorus. Viņa pati lietotājiem iesaka galveno paroli izveidot ne īsāku par 12 rakstzīmēm, mainīt atslēgu ģenerēšanas standarta paroles-Based Key Derivation Function (PBKDF2) iestatījumus un, protams, neizmantot galveno paroli citās vietnēs. Ir sniegti sīkāki pašreizējie ieteikumi pakalpojumu emuārā.
Jūs varat palīdzēt Ukrainai cīnīties pret krievu iebrucējiem. Labākais veids, kā to izdarīt, ir ziedot līdzekļus Ukrainas bruņotajiem spēkiem Savelife vai izmantojot oficiālo lapu NBU.