Narušení firemní sítě LastPass – Co byste měli vědět

Aktualizace z pondělí 29. srpna : CyberHoot není jediný, kdo v reakci na únik informací o společnosti spravující hesla LastPass varuje před vyléváním dítěte s vodou z vany. Zde je další vynikající článek od našich přátel z Naked Security (dalšího skvělého zdroje informací a analýz o kybernetické bezpečnosti) o tomto úniku. Ti i nadále neochvějně podporují přijetí Password Manageru. Dokonce mají i odpovědi na nejčastěji kladené otázky po tomto úniku dat z LastPass.

25. srpna 2022 společnost LastPass nahlásila uživatelům svého řešení pro správu hesel narušení své firemní sítě. Uvedli, že k odcizení uživatelských dat nedošlo, ale ke krádeži zdrojového kódu. Vzhledem k tomu, že CyberHoot doporučuje používat správce hesel, poskytujeme našim klientům a uživatelům tyto body k diskusi. 

Fakta a body k diskusi o porušení LastPassu

1. Produkt LastPass nebyl napaden, spíše jejich firemní síť. Nebyla ukradena žádná klientská data.
2. Žádný software, který kdy byl napsán, není dokonalý, včetně LastPassu, Excelu nebo jakéhokoli jiného správce hesel. Ke kompromisům může docházet a bude docházet.
3. Studie a historie ukázaly, že firmy, které nezavedou správce hesel, mají více narušení bezpečnosti než firmy, které ho zavedou (kvůli opakovanému použití hesel). (Zdroj: Zpráva o úniku dat od společnosti Verizon)
4. Zažít narušení bezpečnosti je u LastPass rozhodně špatná věc, ale jejich transparentnost v tomto ohledu je dobrá věc.
5. LastPass byl nezávisle ověřen, že dodržuje osvědčené postupy pro šifrování dat a salting a hashování hlavního hesla.
6. Bezpečnostní experti zkontrolovali a ověřili, že LastPass nemá přístup k vašim šifrovaným datům a hlavním heslům, ani by takový přístup nemohl získat.
7. Společnost CyberHoot si stojí za doporučením bezpečnostního průmyslu, aby se pro zvýšení bezpečnosti zaměstnanců používal správce hesel.
8. LastPass má program odměny za chyby povzbudit white-hat hackery k zodpovědnému hlášení bezpečnostních problémů ve svých produktech. To je velmi dobrá věc.
9. Sluneční vítr, Cisco, Microsoft, všichni v poslední době zaznamenali narušení bezpečnosti svých produktů nebo firemní sítě. Narušení se stávají.
10. HaveIBeenPwned.com hlásí 11.9 miliardy veřejných účtů odhalených online. CyberHoot odhaduje, že na dark webu je odhaleno 5 až 15krát více účtů.
11. Dokonce i bezpečnostní firmy, jako např. Carbon Black, a RSA v minulosti došlo k narušení jejich sítí a krádeži IP adres. Nejde o to, zda, ale kdy. 

Vzhledem k tomu, že k narušení bezpečnosti dochází v jakékoli společnosti, včetně společností zaměřených na bezpečnost, na co byste se měli zaměřit u společností, jejichž software kupujete?

CyberHoot se domnívá, že byste měli zvážit, jak transparentní bude každá společnost v případě narušení bezpečnosti. LastPass je ke své cti velmi transparentní v otázkách bezpečnosti, a to jak zde, tak i v minulosti.

Mám přestat používat LastPass?

Ne. CyberHoot v současné době nevidí žádný důvod k ukončení používání LastPassu. Budeme tuto situaci i nadále sledovat a informovat o jejím vývoji.

Doporučení CyberHootu s ohledem na únik dat z LastPassu:​

Stejná rada, kterou jsme vždy dávali, platí i pro vaše společnosti. Zdá se to jako tropismus, ale nyní, více než kdy jindy, musíte brát kybernetickou bezpečnost ve svých organizacích vážně a zavést níže uvedené postupy. 

1. Vždy povolte MFA přístup k jakémukoli Správci hesel, včetně LastPassu.
2. Sdělte tento incident svým uživatelům a informujte je o vaší trvalé podpoře používání Správce hesel.
3. Proškolte své zaměstnance v oblasti vícefaktorové autentizace (MFA), phishingových útoků, hygieny hesel, ransomwaru a dalších oblastí. Začněte se školením pravidelně (měsíčně).
4. Říďte své zaměstnance pomocí zásad kybernetické bezpečnosti, včetně zásad pro hesla.
5. Vytvořte ve vaší společnosti rámec pro řízení rizik, který umožní posoudit podobné situace a řídit a zmírňovat rizika pro vaše podnikání.
6. Zvažte najmutí vCISO, který vám pomůže s budováním vašeho programu kybernetické bezpečnosti a odolnosti vůči rizikům.

Dodržováním těchto osvědčených postupů kybernetické bezpečnosti můžete výrazně snížit riziko pro vaši malou nebo střední podnikání nebo poskytovatele spravovaných služeb (MSP).

Další četba a zdroje:

Článek Naked Security z 23. prosince o narušení bezpečnosti LastPassu

Diskusní článek Naked Security o narušení bezpečnosti LastPassu

Blog LastPassu shrnuje únik dat a jejich reakci