LastPass-brud på virksomhedsnetværk – hvad du bør vide

Opdatering man. d. 29. august : CyberHoot er ikke de eneste, der advarer mod at smide barnet ud med badevandet, når de reagerer på bruddet hos LastPass-adgangskodehåndteringsvirksomheden. Her er endnu en fremragende artikel fra vores venner hos Naked Security (endnu en god kilde til information og analyser af cybersikkerhed) om dette brud. De støtter fortsat fuldt ud indførelsen af ​​Password Manager. De har endda deres svar på de mest almindeligt stillede spørgsmål efter dette LastPass-brud.

Den 25. august 2022 rapporterede LastPass et brud på virksomhedens netværk til brugere af deres adgangskodehåndteringsløsning. De oplyste, at ingen brugerdata var blevet stjålet, men kildekoden var. Da CyberHoot anbefaler at implementere en adgangskodehåndtering, giver vi disse diskussionsemner til vores kunder og brugere. 

Fakta og diskussionsemner om LastPass-brud

1. LastPass-produktet blev ikke hacket, men snarere deres virksomhedsnetværk. Ingen klientdata af nogen art blev stjålet.
2. Intet software nogensinde skrevet er perfekt, inklusive LastPass, Excel eller nogen anden adgangskodehåndtering. Kompromisser kan og vil ske.
3. Studier og historie har vist, at virksomheder, der ikke implementerer en adgangskodeadministrator, har flere brud på datasikkerheden end virksomheder, der gør (på grund af genbrug af adgangskoder). (Kilde: Verizon-rapport om databrud)
4. Det er bestemt en dårlig ting at have oplevet et brud hos LastPass, men deres gennemsigtighed omkring det er en god ting.
5. Det er uafhængigt verificeret, at LastPass følger bedste praksis for kryptering af dine data og salting og hashing af din masteradgangskode.
6. Sikkerhedseksperter har gennemgået og bekræftet, at LastPass ikke har adgang til dine krypterede data eller masteradgangskoder, og at de heller ikke kan opnå sådan adgang.
7. CyberHoot står ved sikkerhedsbranchens anbefaling om at implementere en adgangskodeadministrator for at forbedre sikkerheden for medarbejderne.
8. LastPass har en bug bounty-program at opfordre white-hat hackere til at rapportere sikkerhedsproblemer ansvarligt i deres produkter. Dette er en rigtig god ting.
9. Solvind, Cisco, microsofthar alle for nylig haft brud på deres produkter eller deres virksomhedsnetværk. Brud sker.
10. HaveIBeenPwned.com rapporterer 11.9 milliarder offentlige konti eksponeret online. CyberHoot anslår, at 5 til 15 gange flere konti er eksponeret på det mørke web.
11. Selv sikkerhedsfirmaer som f.eks. Carbon Blackog RSA har haft deres netværk hacket og IP stjålet tidligere. Det er ikke et spørgsmål om hvornår, men om. 

I betragtning af at brud vil ske i enhver virksomhed, inklusive sikkerhedsfokuserede virksomheder, hvad skal du så kigge efter hos de virksomheder, hvis software du køber?

CyberHoot mener, at man bør overveje, hvor gennemsigtig hver virksomhed vil være, når de står over for en sikkerhedsbrudssituation. LastPass har til deres ros været meget gennemsigtige omkring sikkerhedsproblemer her og tidligere.

Skal jeg stoppe med at bruge LastPass?

Nej. CyberHoot ser ingen grund til i øjeblikket at stoppe med at bruge LastPass. Vi vil fortsætte med at overvåge og rapportere om denne situation, efterhånden som den udvikler sig.

CyberHoot-anbefalinger i lyset af LastPass-bruddet:​

Det samme råd, som vi altid har givet, gælder for jeres virksomheder. Det lyder måske lidt tropistisk at sige det, men nu, mere end nogensinde før, er det nødvendigt at tage cybersikkerhed alvorligt i jeres organisationer og implementere disse fremgangsmåder nedenfor. 

1. Aktiver altid MFA for at få adgang til enhver adgangskodeadministrator, inklusive LastPass.
2. Kommuniker denne hændelse og din fortsatte støtte til at bruge en adgangskodeadministrator til dine brugere.
3. Træn dine medarbejdere i MFA, phishing-angreb, adgangskodehygiejne, ransomware og mere. Gør træning til en regelmæssig begivenhed (månedligt).
4. Styr dine medarbejdere med cybersikkerhedspolitikker, herunder en adgangskodepolitik.
5. Opbyg en risikostyringsramme i din virksomhed for at vurdere situationer som denne og styre og mindske risici for din virksomhed.
6. Overvej at hyre en vCISO til at hjælpe dig med at opbygge dit cybersikkerhedsprogram og din risikomodstand.

Ved at følge disse bedste praksisser inden for cybersikkerhed kan du reducere risikoen for din SMB eller MSP betydeligt.

Yderligere læsning og ressourcer:

Naked Security-artikel fra 23. december om LastPass-brud

Nøgen sikkerhedsdiskussionsartikel om LastPass-bruddet

LastPass-blog, der beskriver bruddet og deres reaktion