LastPass heeft dit jaar met meerdere cyberaanvallen te maken gehad; hoewel het in staat was om de gecodeerde wachtwoordkluizen van klanten te beschermen, kan het nu niet in die positie blijven, omdat het onthulde dat hackers zelfs gegevens uit de gecodeerde wachtwoordkluizen van klanten hebben gestolen.
Het bedrijf heeft onthuld dat via blogupdates over het ‘Recent Security Incident’ en hun inzet voor transparantie veel cruciale details aan het licht zijn gekomen die het bespreken waard zijn.
De gecodeerde wachtwoordkluizen van LastPass zijn aangetast door een recent datalek
Volgens de CEO van LastPass, Karim Toubbakon de bedreigingsactor een kopie van een back-up van klantkluisgegevens bemachtigen, en de hacker kon dat doen met eerder gestolen sleutels van een cloudopslagserver van een LastPass-medewerker.
Zoals het rapport ook opmerkte, nam de bedreigingsactor al veel klantgegevens in beslag, waaronder namen, e-mailadressen, telefoonnummers en wat factuurgegevens.
Momenteel is niet gespecificeerd hoe oud deze back-ups waren, maar het bedrijf onthulde dat de back-up van klantkluisgegevens aanwezig was in de versleutelde opslagcontainer die zowel niet-versleutelde gegevens als versleutelde gegevens opslaat in een eigen binair formaat.
De gegevens van de niet-versleutelde kluis zouden specifieke webadressen, gebruikersnamen van websites, website-URL’s en in formulieren ingevulde gegevens zijn die hackers kunnen verkrijgen door het binaire formaat te decoderen.
En de versleutelde datakluis bevat alles wat overblijft, zoals wachtwoorden, beveiligde notities van klanten, enz.
Bovendien merkte LastPass op dat de niet-versleutelde kluis geen toegang bood tot creditcardgegevens, aangezien deze informatie niet aanwezig was in de cloudopslagcontainer.
Het bedrijf concludeert dat de gegevens en het wachtwoord van de gecodeerde kluis alleen mogen worden ontgrendeld met het hoofdwachtwoord van de klant, en dit wachtwoord is alleen bekend bij klanten.
Maar het bedrijf heeft nog steeds gewaarschuwd dat de hacker achter dit alles “kan proberen brute kracht te gebruiken om uw hoofdwachtwoord te raden en de kopieën van kluisgegevens die ze hebben gemaakt te decoderen”.
En wat klanten kunnen doen om hun wachtwoordkluis te beschermen:
- Klanten kunnen hun hoofdwachtwoord moeilijker maken met combinaties die ze nergens anders gebruikten.
- In deze situatie zijn de klanten die tweefactorauthenticatie hebben geïmplementeerd veiliger, dus als u dit nog niet heeft toegepast, doe het dan nu.