パスワード マネージャー大手の LastPass は、サイバー犯罪者が顧客の暗号化されたパスワード ボールトを盗んだことを確認しました。
の 更新されたブログ投稿 LastPass の CEO である Karim Toubba 氏によると、侵入者は LastPass の従業員から盗んだクラウド ストレージ キーを使用して、顧客の保管庫データのバックアップのコピーを取得したという。 顧客のパスワード保管庫のキャッシュは、暗号化されていない保管庫データと暗号化された保管庫データの両方を含む「独自のバイナリ形式」で保存されます。 暗号化されていないデータには Web アドレスが含まれていますが、LastPass はそれ以上、またはどのようなコンテキストであるかについては言及していません。 盗まれたバックアップがどのくらい新しいものかは明らかではありません。
LastPass によると、顧客のパスワード保管庫は暗号化されており、顧客だけが知っている顧客のマスター パスワードでのみロックを解除できます。 しかし同社は、侵入の背後にいるサイバー犯罪者が「ブルート フォースを使用してマスター パスワードを推測し、彼らが取得したボールト データのコピーを解読しようとする可能性がある」と警告しています。
Toubba 氏によると、サイバー犯罪者は、名前、電子メール アドレス、電話番号、一部の請求情報など、大量の顧客データも取得していました。
パスワード マネージャーは、長くて複雑で、各サイトやサービスに固有のパスワードを保存するのに非常に適しています。 しかし、このようなセキュリティ インシデントは、すべてのパスワード マネージャーが同じように作成されているわけではなく、さまざまな方法で攻撃または侵害される可能性があることを思い出させてくれます。 脅威モデルは人によって異なるため、同じ要件を持つ人はいません。
LastPass のデータ侵害通知の解析で詳しく説明したように、このようなまれな状況では (入力ミスではありません)、悪意のある人物が顧客の暗号化されたパスワード ボールトにアクセスできた場合、「被害者が必要とするのは被害者のマスター パスワードだけです。」 公開または侵害されたパスワード ボールトの強度は、それをスクランブルするために使用される暗号化 (およびパスワード) と同じくらいです。
LastPass のお客様としてできる最善のことは、現在の LastPass マスター パスワードを新しい固有のパスワード (またはパスフレーズ) に変更し、書き留めて安全な場所に保管することです。 これは、現在の LastPass ボールトが保護されていることを意味します。
マスター パスワードが脆弱であるか、別の場所で使用した場合など、LastPass パスワード ボールトが侵害された可能性があると思われる場合は、LastPass ボールトに保存されているパスワードの変更を開始する必要があります。 メール アカウント、携帯電話プラン アカウント、銀行口座、ソーシャル メディア アカウントなど、最も重要なアカウントから始めて、優先度の高いリストに沿って進めていきます。
幸いなことに、2 要素認証で保護されたアカウントは、攻撃者が電話のポップアップやテキストまたは電子メールで送信されたコードなどの 2 番目の要素なしでアカウントにアクセスすることをはるかに困難にします. そのため、メール アカウントや携帯電話プランのアカウントなど、第 2 要素のアカウントを最初に保護することが重要です。