La violazione dei dati di LastPass (cronologia degli eventi e lezioni chiave)
Nell'agosto 2022, LastPass ha subito una violazione dei dati con un impatto crescente, che ha portato a un esodo di massa degli utenti verso soluzioni alternative di gestione delle password.
Questo post fornisce una panoramica della cronologia degli eventi durante l'attacco informatico di LastPass e lezioni fondamentali per aiutarti a evitare di subire un destino simile.
Scopri come UpGuard semplifica la gestione del rischio dei fornitori >
Cronologia degli eventi durante la violazione dei dati di LastPass (2022-2023)
Per trarre nel modo più efficace lezioni critiche da questo incidente di sicurezza informatica di LastPass, è utile comprendere il contesto completo degli sforzi di risposta di LastPass, delineato nella cronologia degli eventi chiave di seguito
25 Agosto 2022
Evento: Rilevato accesso non autorizzato
Il CEO di LastPass, Karim Toubba, pubblica un avviso che informa gli utenti che sono state rilevate attività insolite e sospette all'interno dell'ambiente di sviluppo di LastPass.
- Karim Toubba (Amministratore delegato di LastPass)
15 settembre 2022
Evento: LastPass afferma che nessuna informazione del cliente o della password è stata compromessa.
Con l'assistenza della società di sicurezza informatica Mandiant, LastPass completa un'indagine sull'incidente di sicurezza. I risultati hanno rivelato che l'autore della minaccia ha avuto accesso all'ambiente di sviluppo dell'azienda solo per un totale di quattro giorni e durante questo periodo non è stata trovata alcuna prova di informazioni sui clienti o compromissione delle password.
- Karim Toubba (Amministratore delegato di LastPass)
30 Novembre 2022
Evento: Rilevata attività insolita nel provider di terze parti
Gli hacker, utilizzando i dettagli rubati durante l'incidente di agosto, ottengono l'accesso al servizio di archiviazione cloud di terze parti di LastPass utilizzato per archiviare i backup dei dati di produzione. Ciò ha comportato la compromissione di alcuni aspetti delle informazioni dei clienti Lastpass.
- Karim Toubba (Amministratore delegato di LastPass)
Dicembre 22, 2022
Evento: Rilevata attività insolita nel provider di terze parti
LastPass scopre che, all'interno dell'ambiente di archiviazione basato su cloud di terze parti, l'autore della minaccia ha compromesso le informazioni di base dell'account del cliente LastPass e un backup dei dati della cassaforte del cliente, che includeva dati non crittografati. In altre parole, gli hacker avevano accesso alle cassette di sicurezza delle password dei clienti ma, senza le password principali, non avevano i mezzi per aprirle.
Questo, tuttavia, non ha eliminato il potenziale di accesso. Se gli utenti di LastPass fossero stati colpiti da precedenti violazioni dei dati, gli hacker avrebbero potuto tentare di utilizzare le loro password compromesse acquistate sul dark web; o altre strategie di forza bruta.
- Karim Toubba (Amministratore delegato di LastPass)
01 Marzo 2023
Evento: l'autore della minaccia accede ad ambienti di storage di backup e sviluppo non di produzione.
Vengono annunciati ulteriori sviluppi critici, etichettati come "Incidente 2. LastPass rivela che i criminali informatici hanno ottenuto l'accesso al computer di casa di un ingegnere DevOps senior sfruttando una vulnerabilità di sicurezza nel loro pacchetto software multimediale di terze parti (sospettato di essere il software multimediale Plex). Questo dipendente è stato preso di mira perché aveva accesso alle chiavi di decrittazione necessarie per accedere alle casseforti degli account LastPass compromessi (menzionato nell'aggiornamento precedente).
Una volta all'interno del computer dell'ingegnere DevOp, gli hacker hanno distribuito malware keylogger per acquisire la password principale dell'utente mentre veniva digitata dopo essersi autenticati con l'autenticazione a più fattori (MFA). Il furto di questa password principale ha poi permesso agli hacker di accedere al caveau aziendale del dipendente.
Secondo LastPass, in ogni incidente è stato effettuato l'accesso alle seguenti categorie di dati sensibili.
Ciò è stato ottenuto prendendo di mira il computer di casa dell'ingegnere DevOps e sfruttando un pacchetto software multimediale di terze parti vulnerabile, che ha consentito la capacità di esecuzione di codice remoto e ha consentito all'autore della minaccia di impiantare malware keylogger. L'autore della minaccia è stato in grado di acquisire la password principale del dipendente non appena è stata inserita, dopo che il dipendente si è autenticato con MFA e ha ottenuto l'accesso al vault aziendale LastPass dell'ingegnere DevOps.
- Karim Toubba (Amministratore delegato di LastPass)
Dati a cui si è avuto accesso nel primo incidente:
- Sviluppo on-demand, basato su cloud e repository di codice sorgente
- Script interni dai repository
- Documentazione interna
Dati a cui si è avuto accesso nel secondo evento imprevisto:
- Segreti DevOps
- Archiviazione di backup basata su cloud
- Backup del database MFA/Federation di LastPass
La compromissione dei backup di LastPass ha permesso agli attori delle minacce di accedere a un'ampia gamma di informazioni sensibili dei clienti, tra cui le password monouso per il recupero.
Consulta l'elenco completo dei dati LastPass compromessi >
4 lezioni fondamentali dalla violazione di LastPass
Le seguenti lezioni chiave possono essere apprese da questo incidente di sicurezza di LastPass.
1. Segmenta la tua rete
Una delle poche risposte lodevoli di LastPass è stato il suo tentativo di mitigare l'impatto implementando misure di contenimento. È molto più facile isolare le minacce informatiche attive nel contesto di una rete segmentata. La segmentazione della rete è anche un metodo efficace per interrompere i flussi di lavoro di attacchi informatici sofisticati, come gli attacchi di phishing e ransomware.
>Scopri come difenderti dagli attacchi ransomware >
2. Sii completamente trasparente con gli utenti interessati
Il difetto principale di LastPass non era che i suoi controlli di sicurezza primari non riuscivano a prevenire una violazione dei dati (sebbene tale capacità di sicurezza informatica sia prevista da un gestore di password); Era il suo metodo vago e prolungato di allertare i clienti colpiti. In totale, LastPass ha pubblicato cinque diversi aggiornamenti sul suo incidente di sicurezza e ogni volta sembrava che LastPass non fosse completamente schietto sul grado di impatto dell'incidente, come dimostra il fatto che LastPass ha nascosto i dettagli incendiari su come il caveau aziendale del suo dipendente è stato compromesso in un documento separato "Dettagli aggiuntivi".
Se c'è una lezione importante da imparare da questa violazione dei dati e da tutte le altre gravi violazioni, è questa: assumersi la responsabilità dei propri errori. Essere completamente sinceri sugli errori di sicurezza informatica che hanno portato a una violazione potrebbe non prevenire danni alla reputazione, ma potrebbe ridurre significativamente il tempo necessario per riprendersi.
Per un altro esempio di sforzi di pubbliche relazioni da non seguire, leggi come Optus ha risposto alla sua grave violazione dei dati.
3. Implementare una politica di password complesse
Assicurati che la tua politica sulle password vieti rigorosamente cattive abitudini come il riciclaggio delle password. Poiché si sono già verificate così tante violazioni dei dati, è probabile che alcune delle tue password siano già state compromesse e siano disponibili sul dark web.
Quando i criminali informatici hanno compromesso i dati di backup della cassaforte dei clienti (annunciata il 22 dicembre 2022), avrebbero potuto ottenere l'accesso alle loro casseforti se le vittime fossero state compromesse in precedenti violazioni e avessero praticato il riciclaggio delle password.
4. Implementare solide politiche di sicurezza per i dispositivi remoti
Il più alto grado di danno durante questo evento si è verificato dopo che il laptop di un ingegnere DevOps di LastPass è stato compromesso, il che è accaduto solo perché il dispositivo è stato esposto attraverso una vulnerabilità all'interno di un pacchetto software multimediale di terze parti (che si ipotizza sia Plex). Se questo pacchetto multimediale di terze parti era Plex, il dipendente utilizzava il proprio computer di lavoro per l'intrattenimento personale.
La policy di sicurezza per i dispositivi WFH deve delimitare l'uso consentito dei laptop aziendali e di altri endpoint affidati ai dipendenti remoti. Come minimo, questi criteri dovrebbero vietare l'installazione di applicazioni personali senza l'approvazione esplicita dei team di sicurezza.
Anche azioni apparentemente innocenti, come l'accesso ad app di social media come Linkedin o app web come Amazon, aumentano la superficie di attacco del phishing e dovrebbero, quindi, essere affrontate anche nelle politiche sui titoli.
UpGuard aiuta le aziende a scoprire e chiudere i rischi per la sicurezza prima che i criminali informatici li sfruttino. Combinando la gestione della superficie di attacco con le funzionalità di gestione del rischio del fornitore, UpGuard offre la protezione più completa contro i rischi per la sicurezza interni e di terze parti.
Guarda questo video per un rapido tour della piattaforma UpGuard.