LastPass blev hacket, men brugerdata blev ikke påvirket

LastPass rapporterer stadig om august-hacket. Ingen brugerdata er blevet kompromitteret, men forsigtighed tilrådes stadig.

LastPass erkendte i august, at en “uautoriseret person” var i stand til at infiltrere sine systemer. Oplysninger af denne art fra en hacket password manager er bekymrende, men i dag ønsker virksomheden at forsikre sine brugere om, at deres id’er og andre personlige oplysninger ikke blev kompromitteret under denne hændelse .

LastPass rapporterer stadig om et hack i august

I sit seneste indlæg om dette hack forklarede LastPass CEO Karim Tubba, at virksomhedens undersøgelse med cybersikkerhedsselskabet Mandiant viste, at angriberen havde intern adgang til sine systemer i fire dage. Sidstnævnte var i stand til at stjæle adgangskodemanagerens kildekode og tekniske oplysninger, men hans adgang var begrænset til tjenestens udviklingsmiljø, som ikke er knyttet til brugerdata eller krypterede hvælvinger. Derudover præciserede Karim Tubba, at LastPass ikke har nogen adgang til brugernes hovedadgangskoder, som er nødvendige for at dekryptere boksene.

Brugerdata er ikke blevet kompromitteret

Den administrerende direktør præciserede også, at der ikke er beviser for, at denne hændelse “er relateret til adgang til personlige data eller krypterede adgangskodebokse.” De fandt heller ingen beviser for uautoriseret adgang ud over denne fire-dages periode, og ingen beviser for, at der blev introduceret ondsindet kode ind i systemerne. Karim Tubba hævder, at angriberen var i stand til at infiltrere systemsystemer ved at kompromittere udviklerens system. Hackeren var derefter i stand til at efterligne sidstnævnte “efter succesfuld autentificering med to-faktor-godkendelse.”

Men forsigtighed er altid på sin plads

LastPass oplevede et sikkerhedsbrud i 2015, der kompromitterede e-mail-adresser, bruger-id-hash, adgangskodepåmindelser og andre brugeroplysninger. En sådan mangel ville være katastrofal i dag, hvor tjenesten har mere end 33 millioner registrerede kunder. Selvom LastPass ikke råder sine brugere til at tage nogen specifik handling, er det altid en god idé ikke at genbruge adgangskoder og aktivere to-faktor-godkendelse.