اختراق شبكة LastPass للشركات - ما يجب أن تعرفه

تحديث الاثنين 29 أغسطس : لم يكن موقع CyberHoot الوحيد الذي حذر من التسرع في رد الفعل على اختراق شركة LastPass لإدارة كلمات المرور. إليكم مقالًا ممتازًا آخر من أصدقائنا في Naked Security (مصدر رائع آخر لمعلومات وتحليلات الأمن السيبراني) حول هذا الاختراق. يؤكدون دعمهم القوي لاعتماد برامج إدارة كلمات المرور، ويقدمون إجابات لأكثر الأسئلة شيوعًا بعد اختراق LastPass.

في 25 أغسطس 2022، أبلغت شركة LastPass مستخدمي حلول إدارة كلمات المرور عن اختراق لشبكتها المؤسسية. وأكدت الشركة أنه لم تتم سرقة أي بيانات للمستخدمين، ولكن تمت سرقة الشيفرة المصدرية. ونظرًا لأن CyberHoot توصي باستخدام مدير كلمات مرور، فإننا نوفر هذه النقاط المهمة لعملائنا ومستخدمينا. 

حقائق ونقاط نقاش حول خرق LastPass

1. لم يُخترق منتج LastPass، بل شبكتهم المؤسسية. لم تُسرق أي بيانات من بيانات العملاء.
2. لا يوجد برنامج مُصمم على الإطلاق مثالي، بما في ذلك LastPass وExcel أو أي برنامج آخر لإدارة كلمات المرور. قد تحدث بعض الثغرات، وستحدث بالتأكيد.
3. أظهرت الدراسات والتاريخ أن الشركات التي لا تعتمد مدير كلمات مرور تتعرض لاختراقات أكثر من الشركات التي تعتمده (بسبب إعادة استخدام كلمة المرور). (المصدر: تقرير خرق بيانات فيريزون)
4. من المؤكد أن التعرض لاختراق يعد أمرًا سيئًا في LastPass، ولكن شفافيتهم بشأن هذا الأمر أمر جيد.
5. تم التحقق بشكل مستقل من أن LastPass يتبع أفضل الممارسات لتشفير بياناتك وتمليح كلمة المرور الرئيسية الخاصة بك وتجزئتها.
6. لقد قام خبراء الأمن بمراجعة والتحقق من أن LastPass ليس لديه حق الوصول إلى بياناتك المشفرة وكلمات المرور الرئيسية، ولا يمكنهم أيضًا الحصول على مثل هذا الوصول.
7. تلتزم CyberHoot بتوصيات صناعة الأمن بتبني مدير كلمات المرور لتعزيز الأمان الذي توفره للموظفين.
8. يحتوي LastPass على امتداد علة برنامج فضله لتشجيع قراصنة القبعة البيضاء على الإبلاغ عن المشاكل الأمنية في منتجاتهم بمسؤولية. وهذا أمر جيد جدًا.
9. سولارويندز, سيسكو, Microsoftجميعها تعرضت لاختراقات في منتجاتها أو شبكاتها المؤسسية مؤخرًا. الخروقات واردة.
10. HaveIBeenPwned.com أفادت تقارير بتعرض 11.9 مليار حساب عام للاختراق على الإنترنت. وتقدر شركة CyberHoot أن عدد الحسابات المكشوفة على الإنترنت المظلم يزيد بواقع 5 إلى 15 ضعفًا.
11. حتى شركات الأمن مثل أسود الكربونو RSA لقد تعرضت شبكاتهم وسرقة عناوين IP الخاصة بهم في الماضي. ليس السؤال "هل سيحدث ذلك؟"، بل "متى سيحدث". 

وبما أن الخروقات تحدث في أي شركة، بما في ذلك الشركات التي تركز على الأمن، فما الذي يجب أن تبحث عنه في الشركات التي تشتري برامجها؟

ترى شركة CyberHoot أنه ينبغي مراعاة مدى شفافية كل شركة عند مواجهة حالة اختراق أمني. وتجدر الإشارة إلى أن شركة LastPass كانت شفافة للغاية بشأن المشكلات الأمنية، سواءً هنا أو في الماضي.

هل يجب علي التوقف عن استخدام LastPass؟

لا. لا يرى CyberHoot حاليًا أي سبب يدعوه للتوقف عن استخدام LastPass. سنواصل مراقبة هذا الوضع والإبلاغ عنه فور تطوره.

توصيات CyberHoot في ضوء خرق LastPass:​

تنطبق نفس النصيحة التي قدمناها دائمًا على شركاتكم. قد يبدو هذا الكلام مبالغًا فيه، ولكنكم الآن، أكثر من أي وقت مضى، بحاجة إلى إيلاء الأمن السيبراني في مؤسساتكم اهتمامًا بالغًا، واعتماد الممارسات التالية. 

1. قم دائمًا بتمكين MFA للوصول إلى أي مدير كلمات مرور، بما في ذلك LastPass.
2. قم بإبلاغ المستخدمين بهذه الحادثة واستمرار دعمك لاستخدام مدير كلمات المرور.
3. درب موظفيك على المصادقة الثنائية، وهجمات التصيد الاحتيالي، وسلامة كلمات المرور، وبرامج الفدية، وغيرها. اجعل التدريب منتظمًا (شهريًا).
4. قم بإدارة موظفيك من خلال سياسات حوكمة الأمن السيبراني بما في ذلك سياسة كلمة المرور.
5. قم ببناء إطار عمل لإدارة المخاطر في شركتك لتقييم المواقف مثل هذا، وإدارة المخاطر التي تهدد عملك والتخفيف منها.
6. فكر في تعيين vCISO لمساعدتك في بناء برنامج الأمن السيبراني الخاص بك والقدرة على الصمود في وجه المخاطر.

من خلال اتباع أفضل ممارسات الأمن السيبراني هذه، يمكنك تقليل المخاطر التي قد تتعرض لها شركتك الصغيرة والمتوسطة أو مزود الخدمات المدارة بشكل كبير.

قراءات وموارد إضافية:

مقالة Naked Security بتاريخ 23 ديسمبر حول خرق LastPass

مقالة نقاشية حول خرق LastPass في Naked Security

مدونة LastPass توضح الاختراق وردود أفعالهم