LastPass דיווחה כי המחשב הביתי של מהנדס DevOps נפגע כדי לגנוב נתוני כספת סיסמאות במהלך פרצת הנתונים באוגוסט 2022.
LastPass איבדו נתוני כספת בהפרה של 2022
מנהל הסיסמאות LastPass חשף מידע נוסף על פרצת הנתונים שלו באוגוסט 2022, וקבע כי המחשב הביתי של מהנדס DevOps נפרץ כדי לגנוב נתוני כספת סיסמאות.
ב-27 בפברואר 2023, LastPass פרסמה ייעוץ אבטחה בנוגע לפריצת המידע שנגרמה באוגוסט 2022. LastPass כבר הודיעה לקוראים שהגישה לכספות נתוני לקוחות במהלך המתקפה, עם מתקפה נוספת שהתרחשה בנובמבר 2022 שהיה קשור לראשון. מהפגיעה הראשונית, נגנבו לכאורה גם 53,000 דולר בביטקוין, שממנו הוגשה תביעה ייצוגית.
בתוך ה ייעוץ אבטחה של LastPass, נכתב כי במהלך המתקפה באוגוסט 2022, המפעיל הזדוני הצליח "למנף אישורים תקפים שנגנבו ממהנדס בכיר ב-DevOps כדי לגשת ל- סביבת אחסון ענן משותפת, שהקשתה בתחילה על החוקרים להבדיל בין פעילות שחקנית איום לפעילות לגיטימית מתמשכת".
למהנדס DevOps הייתה גישה למפתחות פענוח, מה שהפך אותם למטרה עיקרית עבור התוקף. מפתחות אלו אפשרו גישה לשירותי האחסון בענן של LastPass, המכילים נתוני לקוחות LastPass ונתוני כספת מוצפנים. רק לארבעה מהנדסי LastPass DevOps הייתה גישה למפתחות אלה, כאשר רק אחד מהם היה ממוקד בהצלחה.
LastPass גם קבע כי "שחקן האיום הפך מהאירוע הראשון, שהסתיים ב-12 באוגוסט 2022, אך היה מעורב באופן פעיל בסדרה חדשה של פעילויות סיור, ספירה וסינון המתואמות לסביבת האחסון בענן החל מ- 12 באוגוסט 2022, עד 26 באוקטובר 2022." רק עד ש-AWS GuardDuty Alerts הודיעה ל-LastPass על פעילות חריגה שהבעיה הייתה מודגש.
חבילת תוכנה נוצלה כדי לסכן את המחשב הממוקד
על מנת לפרוץ למחשב הביתי של מהנדס DevOps, התוקף ניצל חבילת מדיה פגיעה של תוכנה של צד שלישי. באמצעות ניצול זה, התוקף יכול לאפשר ולבצע ביצוע קוד מרחוק, מה שהוביל להתקנת תוכנות זדוניות Keylogger. לאחר מכן נעשה שימוש ב-keylogger זה כדי לגנוב את סיסמת האב של העובד ולגשת לכספת הארגונית של LastPass.
לאחר הגישה לכספת, השחקן הזדוני ייצא הן את ערכי הכספת והן את תוכן התיקיות המשותפות. בתוך הנתונים המיוצאים היו הערות מאובטחות מוצפנות, כמו גם מפתחות פענוח LastPass. מפתחות אלה היו נחוצים כדי "לגשת לגיבויים הייצור של AWS S3 LastPass, משאבי אחסון אחרים מבוססי ענן, וכמה גיבויים קריטיים הקשורים למסד נתונים."
ל-LastPass יש משתמשים המפקפקים בשלמותו
בעוד שחלק מהמשתמשים מעריכים את השקיפות של LastPass בנוגע לאירוע זה, רבים כועסים על בעיות האבטחה המתמשכות שסבלה החברה. משתמשים מבוהלים פנו לטוויטר כדי לפרוק את רגשותיהם לגבי שלמות האבטחה של LastPass. כפי שניתן לראות להלן, אדם אחד מתח ביקורת על החלטת LastPass להעניק לעובדים מסוימים גישה לכספת סיסמאות מפוענחת.
המוניטין של LastPass נראה פגום בין התקפות אלו
לאחר שנתקלו בבעיות אבטחה רבות בשנים האחרונות, אנשים שואלים כעת האם LastPass היא אפשרות לגיטימית לאחסון סיסמאות. מכיוון שחלק מהמשתמשים כבר עוזבים את LastPass מאחור, אין לדעת איך מנהל הסיסמאות הזה יעמוד בסערה הזו.