Сервис LastPass, популярный менеджер паролей, вновь оказался в центре внимания из-за инцидента с безопасностью. На этот раз утечка произошла не напрямую в системах LastPass, а у одного из его сторонних поставщиков. Инцидент затронул контактные данные пользователей, но, к счастью, не скомпрометировал мастер-пароли или хранилища паролей.
Содержание
Обстоятельства утечки
Согласно сообщению LastPass, опубликованному во вторник, причиной инцидента стала кибератака на компанию Klue — стороннюю платформу для исследования рынка. Klue использовалась LastPass для интеграции со своими системами Salesforce и Gong, что позволяло обрабатывать данные клиентов и проводить рыночные исследования. В результате взлома Klue были скомпрометированы некоторые контактные данные и данные систем управления взаимоотношениями с клиентами (CRM) LastPass. Похищенная информация включает имена, номера телефонов, адреса электронной почты и физические адреса пользователей, а также детали, связанные со случаями поддержки и продажами.
Злоумышленники получили доступ к токенам безопасности OAuth — специальным учётным данным, которые Klue использовала для подключения к клиентским данным в различных системах. Эти токены были эксплуатированы для кражи пользовательских данных LastPass, хранившихся в Salesforce. Важно отметить, что ни мастер-пароли, ни содержимое хранилищ паролей пользователей LastPass не пострадали в результате этой утечки.
Реакция LastPass и других пострадавших
В ответ на инцидент LastPass незамедлительно отключил весь доступ сотрудников к системам Klue, обновил скомпрометированные токены и начал расследование совместно с Klue и Salesforce, привлекая к работе правоохранительные органы. Компания также заявила о намерении делиться информацией с широким сообществом кибербезопасности для противодействия подобным кампаниям и обещает усилить меры защиты в будущем.
Сама компания Klue обнаружила утечку 12 июня и с тех пор активно работает с экспертами по кибербезопасности для выяснения всех обстоятельств и восстановления безопасных соединений.
LastPass стал не единственной жертвой этой кибератаки. Как сообщает издание TechCrunch, среди пострадавших компаний также значатся Gong, Jamf, HackerOne, Insurity, OneTrust, Recorded Future, Snyk, Sprout Social и Tanium. Ответственность за взлом взяла на себя группа вымогателей Icarus, которая угрожает опубликовать похищенные данные в случае неуплаты выкупа со стороны Klue.
Рекомендации для пользователей LastPass
В свете произошедшего инцидента пользователям LastPass рекомендуется предпринять следующие шаги:
- Проверить свою электронную почту: LastPass направил уведомления пострадавшим пользователям с дополнительными рекомендациями.
- Быть бдительными в отношении фишинга и социальной инженерии: украденные контактные данные могут быть использованы злоумышленниками для мошеннических атак. Внимательно проверяйте любые электронные письма, сообщения или звонки, в которых запрашивается конфиденциальная информация.
- Рассмотреть смену мастер-пароля: несмотря на то что мастер-пароли не были скомпрометированы, его смена может стать дополнительной мерой предосторожности. Рекомендуется использовать сложную, но запоминающуюся фразу.
- Оценить целесообразность использования другого менеджера паролей: для LastPass это не первый инцидент с безопасностью, что вызывает вопросы к его надёжности.
Предыдущие инциденты и репутация
LastPass имеет неоднозначную историю в области безопасности. В 2022 году хакеры получили доступ к части исходного кода и проприетарным техническим данным компании. Позднее в том же году LastPass подтвердил, что информация, похищенная в ходе первой атаки, была использована для второй, в результате которой были скомпрометированы имена клиентов, платёжные адреса, адреса электронной почты, телефонные номера и IP-адреса.
Ранее, в 2020 году, масштабный сбой не позволял пользователям LastPass входить в свои аккаунты в течение нескольких дней. А в 2019 году исследователи безопасности обнаружили уязвимость, которая могла раскрывать учётные данные, введённые на ранее посещённом сайте.
Несмотря на то что нынешняя утечка произошла по вине стороннего поставщика, череда прошлых инцидентов заставляет задуматься о надёжности LastPass. На рынке существуют альтернативные менеджеры паролей с более надёжной репутацией, такие как 1Password, NordPass и Bitwarden. Переход от одного менеджера паролей к другому может показаться сложным, однако по опыту многих пользователей, этот процесс часто проходит быстрее и проще, чем ожидается.
