Παραβίαση εταιρικού δικτύου LastPass – Τι πρέπει να γνωρίζετε

Ενημέρωση Δευτέρας 29 Αυγούστου : Η CyberHoot δεν είναι η μόνη που προειδοποιεί για το ενδεχόμενο να πετάτε το μωρό σας με τα νερά της μπανιέρας όταν αντιδράτε στην παραβίαση της εταιρείας διαχείρισης κωδικών πρόσβασης LastPass. Ακολουθεί ένα ακόμη εξαιρετικό άρθρο από τους φίλους μας στην Naked Security (μια άλλη εξαιρετική πηγή πληροφοριών και αναλύσεων για την κυβερνοασφάλεια) σχετικά με αυτήν την παραβίαση. Υποστηρίζουν σταθερά την υιοθέτηση του Password Manager. Έχουν ακόμη και τις απαντήσεις τους στις πιο συχνές ερωτήσεις μετά από αυτήν την παραβίαση LastPass.

Στις 25 Αυγούστου 2022, η LastPass ανέφερε παραβίαση του εταιρικού της δικτύου στους χρήστες της λύσης διαχείρισης κωδικών πρόσβασης. Δήλωσαν ότι δεν κλάπηκαν δεδομένα χρήστη, αλλά ο πηγαίος κώδικας κλάπηκε. Δεδομένου ότι η CyberHoot συνιστά την υιοθέτηση ενός διαχειριστή κωδικών πρόσβασης, παρέχουμε αυτά τα σημεία συζήτησης στους πελάτες και τους χρήστες μας. 

Γεγονότα και σημεία συζήτησης για την παραβίαση του LastPass

1. Δεν παραβιάστηκε το προϊόν LastPass, αλλά μάλλον το εταιρικό τους δίκτυο. Δεν κλάπηκαν κανενός είδους δεδομένα πελατών.
2. Κανένα λογισμικό που έχει γραφτεί ποτέ δεν είναι τέλειο, συμπεριλαμβανομένων των LastPass, Excel ή οποιουδήποτε άλλου διαχειριστή κωδικών πρόσβασης. Συμβιβασμοί μπορούν και θα συμβούν.
3. Μελέτες και ιστορικό έχουν δείξει ότι οι εταιρείες που δεν υιοθετούν έναν διαχειριστή κωδικών πρόσβασης έχουν περισσότερες παραβιάσεις από τις εταιρείες που υιοθετούν (λόγω επαναχρησιμοποίησης κωδικών πρόσβασης). (Πηγή: Αναφορά παραβίασης δεδομένων Verizon)
4. Το να έχεις βιώσει μια παραβίαση είναι σίγουρα κάτι κακό στο LastPass, αλλά η διαφάνειά τους σχετικά με αυτό είναι κάτι καλό.
5. Το LastPass έχει επαληθευτεί ανεξάρτητα ότι ακολουθεί τις βέλτιστες πρακτικές για την κρυπτογράφηση των δεδομένων σας και την κατακερματισμό (salting) και το hashing (hashing) του κύριου κωδικού πρόσβασής σας.
6. Οι ειδικοί ασφαλείας έχουν ελέγξει και επαληθεύσει ότι το LastPass δεν έχει πρόσβαση στα κρυπτογραφημένα δεδομένα σας, στους κύριους κωδικούς πρόσβασής σας, ούτε θα μπορούσε να αποκτήσει τέτοια πρόσβαση.
7. Η CyberHoot υποστηρίζει τη σύσταση του κλάδου ασφάλειας για υιοθέτηση ενός διαχειριστή κωδικών πρόσβασης για την ενισχυμένη ασφάλεια που παρέχει στους εργαζομένους.
8. Το LastPass έχει ένα πρόγραμμα bug bounty να ενθαρρύνουν τους white-hat hackers να αναφέρουν υπεύθυνα ζητήματα ασφαλείας στα προϊόντα τους. Αυτό είναι πολύ καλό.
9. Ηλιακοί άνεμοι, Cisco, Microsoft, έχουν όλοι αντιμετωπίσει πρόσφατα παραβιάσεις στα προϊόντα τους ή στο εταιρικό τους δίκτυο. Παραβιάσεις συμβαίνουν.
10. HaveIBeenPwned.com Η CyberHoot εκτιμά ότι 11.9 έως 5 φορές περισσότεροι λογαριασμοί είναι εκτεθειμένοι στο dark web. Αναφέρει ότι 15 δισεκατομμύρια δημόσιοι λογαριασμοί είναι εκτεθειμένοι στο διαδίκτυο.
11. Ακόμη και εταιρείες ασφαλείας όπως Carbon Blackκαι RSA έχουν υποστεί παραβίαση των δικτύων τους και κλοπή IP στο παρελθόν. Δεν είναι θέμα αν αλλά πότε. 

Δεδομένου ότι οι παραβιάσεις θα συμβούν σε οποιαδήποτε εταιρεία, συμπεριλαμβανομένων των εταιρειών που επικεντρώνονται στην ασφάλεια, τι πρέπει να προσέξετε στις εταιρείες των οποίων το λογισμικό αγοράζετε;

Η CyberHoot πιστεύει ότι θα πρέπει να λάβετε υπόψη πόσο διαφανής θα είναι κάθε εταιρεία όταν αντιμετωπίζει μια κατάσταση παραβίασης. Η LastPass, προς τιμήν της, έχει επιδείξει μεγάλη διαφάνεια σχετικά με τα ζητήματα ασφαλείας εδώ και στο παρελθόν.

Να σταματήσω να χρησιμοποιώ το LastPass;

Όχι. Η CyberHoot δεν βλέπει κανένα λόγο προς το παρόν να σταματήσει να χρησιμοποιεί το LastPass. Θα συνεχίσουμε να παρακολουθούμε και να αναφέρουμε αυτήν την κατάσταση καθώς εξελίσσεται.

Συστάσεις του CyberHoot υπό το φως της παραβίασης του LastPass:​

Οι ίδιες συμβουλές που δίναμε πάντα ισχύουν και για τις εταιρείες σας. Μοιάζει με τροπισμό να το λέμε αυτό, αλλά τώρα, περισσότερο από ποτέ, πρέπει να λάβετε σοβαρά υπόψη την κυβερνοασφάλεια στους οργανισμούς σας και να υιοθετήσετε τις παρακάτω πρακτικές. 

1. Να ενεργοποιείτε πάντα το MFA για πρόσβαση σε οποιονδήποτε Διαχειριστή κωδικών πρόσβασης, συμπεριλαμβανομένου του LastPass.
2. Κοινοποιήστε αυτό το περιστατικό και τη συνεχή υποστήριξή σας στη χρήση ενός Διαχειριστή κωδικών πρόσβασης στους χρήστες σας.
3. Εκπαιδεύστε τους υπαλλήλους σας σχετικά με το MFA, τις επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing), την υγιεινή κωδικών πρόσβασης, το ransomware και άλλα. Κάντε την εκπαίδευση τακτική (μηνιαία).
4. Εφαρμόστε πολιτικές διακυβέρνησης κυβερνοασφάλειας στους υπαλλήλους σας, συμπεριλαμβανομένης μιας Πολιτικής Κωδικών Πρόσβασης.
5. Δημιουργήστε ένα πλαίσιο διαχείρισης κινδύνων στην εταιρεία σας για να αξιολογείτε καταστάσεις όπως αυτή, να διαχειρίζεστε και να μετριάζετε τους κινδύνους για την επιχείρησή σας.
6. Σκεφτείτε το ενδεχόμενο να προσλάβετε έναν vCISO για να σας βοηθήσει στην ανάπτυξη του προγράμματος κυβερνοασφάλειας και της ανθεκτικότητας σε κινδύνους.

Ακολουθώντας αυτές τις βέλτιστες πρακτικές κυβερνοασφάλειας, μπορείτε να μειώσετε σημαντικά τον κίνδυνο για την ΜΜΕ ή τον MSP σας.

Επιπλέον Ανάγνωση και Πόροι:

Άρθρο της Naked Security στις 23 Δεκεμβρίου σχετικά με την παραβίαση του LastPass

Άρθρο συζήτησης για την ασφάλεια Naked Security σχετικά με την παραβίαση του LastPass

Το ιστολόγιο LastPass περιγράφει την παραβίαση και την αντίδρασή τους