LastPass ostrzega klientów. Hakerzy wykradli bazy z ich hasłami

We wpisie na blogu dotyczącym wycieku dyrektor generalny LastPass Karim Toubba przekazał, że intruzi zdołali przejąć kopię zapasową z bazą danych klientów. Wykorzystali do tego klucze do przechowywania w chmurze skradzione pracownikowi LastPass.

Pamięć podręczna bazy haseł klientów jest przechowywana w "zastrzeżonym formacie binarnym", który zawiera zarówno niezaszyfrowane, jak i zaszyfrowane dane, ale szczegóły techniczne i kwestie bezpieczeństwa tego zastrzeżonego formatu nie zostały określone.

Wiadomo jednak, że niezaszyfrowane dane obejmują przechowywane w bazie adresy internetowe. Natomiast nie jest jasne, jak aktualne są skradzione kopie zapasowe. Toubba wskazał dodatkowo, że cyberprzestępcy przejęli również ogromne ilości danych klientów, w tym nazwiska, adresy e-mail, numery telefonów i niektóre informacje rozliczeniowe.

LastPass twierdzi, że bazy haseł klientów są zaszyfrowane i mogą być odblokowane tylko za pomocą hasła głównego klienta, które jest znane tylko jemu. Firma ostrzegła jednak, że cyberprzestępcy stojący za włamaniem "mogą próbować użyć brutalnej siły, aby odgadnąć hasło główne i odszyfrować kopie danych z bazy, które przejęli".

Najlepszym rozwiązaniem dla klientów LastPass jest natychmiastowa zmiana obecnego hasła głównego na nowe i unikalne, które zostanie zapisane i przechowywane w bezpiecznym miejscu. Warto również rozważyć zmianę innych haseł przechowywanych w bazie.

Na pocieszenie można dodać, że każde konto zabezpieczone dwuskładnikowym uwierzytelnianiem znacznie utrudni atakującemu dostęp do kont bez drugiego czynnika, takiego jak odcisk palca, skan twarzy, wyskakujące okienko w telefonie lub kod wysłany SMS-em.