लास्टपास कॉर्पोरेट नेटवर्क उल्लंघन - आपको क्या पता होना चाहिए

सोमवार, 29 अगस्त का अपडेट : लास्टपास पासवर्ड मैनेजमेंट कंपनी के डेटा लीक पर प्रतिक्रिया देते समय जल्दबाजी में कोई फैसला लेने से बचने की चेतावनी देने वाली अकेली कंपनी साइबरहूट ही नहीं है। साइबर सुरक्षा जानकारी और विश्लेषण का एक और बेहतरीन स्रोत , नेकेड सिक्योरिटी के हमारे दोस्तों का एक और शानदार लेख इस लीक के बारे में है। वे पासवर्ड मैनेजर अपनाने के पक्ष में दृढ़ता से खड़े हैं। लास्टपास डेटा लीक के बाद पूछे जाने वाले सबसे आम सवालों के जवाब भी उनके पास मौजूद हैं।

25 अगस्त 2022 को, लास्टपास ने अपने पासवर्ड प्रबंधन समाधान के उपयोगकर्ताओं को अपने कॉर्पोरेट नेटवर्क में सेंध की सूचना दी। उन्होंने बताया कि कोई उपयोगकर्ता डेटा चोरी नहीं हुआ, बल्कि स्रोत कोड चोरी हो गया। चूँकि साइबरहूट एक पासवर्ड मैनेजर अपनाने की सलाह देता है, इसलिए हम अपने ग्राहकों और उपयोगकर्ताओं को ये बातें बता रहे हैं। 

लास्टपास उल्लंघन के तथ्य और चर्चा के बिंदु

1. लास्टपास उत्पाद में सेंध नहीं लगी, बल्कि उनके कॉर्पोरेट नेटवर्क में सेंध लगी। किसी भी तरह का कोई क्लाइंट डेटा चोरी नहीं हुआ।
2. कोई भी सॉफ्टवेयर, चाहे वह लास्टपास हो, एक्सेल हो या कोई भी पासवर्ड मैनेजर, कभी भी परफेक्ट नहीं होता। समझौता हो सकता है और होगा भी।
3. अध्ययनों और इतिहास से पता चला है कि जो कंपनियां पासवर्ड मैनेजर नहीं अपनाती हैं, उनमें पासवर्ड का दोबारा इस्तेमाल करने के कारण होने वाली चोरी की घटनाएं उन कंपनियों की तुलना में अधिक होती हैं जो पासवर्ड मैनेजर अपनाती हैं। (स्रोत: वेरिज़ोन डेटा उल्लंघन रिपोर्ट)
4. लास्टपास में किसी प्रकार की सेंधमारी होना निश्चित रूप से एक बुरी बात है, लेकिन इस बारे में उनकी पारदर्शिता एक अच्छी बात है।
5. लास्टपास को स्वतंत्र रूप से सत्यापित किया गया है कि वह आपके डेटा को एन्क्रिप्ट करने और आपके मास्टर पासवर्ड को सॉल्ट और हैश करने के लिए सर्वोत्तम प्रथाओं का पालन करता है।
6. सुरक्षा विशेषज्ञों ने समीक्षा की है और सत्यापित किया है कि लास्टपास के पास आपके एन्क्रिप्टेड डेटा, मास्टर पासवर्ड तक पहुंच नहीं है, और न ही वे ऐसी पहुंच प्राप्त कर सकते हैं।
7. साइबरहूट, कर्मचारियों को बेहतर सुरक्षा प्रदान करने के लिए पासवर्ड मैनेजर अपनाने की सुरक्षा उद्योग की सिफारिश का समर्थन करता है।
8. लास्टपास में एक है बग बाउंटी कार्यक्रम व्हाइट-हैट हैकर्स को अपने उत्पादों में सुरक्षा संबंधी समस्याओं की ज़िम्मेदारी से रिपोर्ट करने के लिए प्रोत्साहित करना। यह बहुत अच्छी बात है।
9. ओरियन, सिस्को, माइक्रोसॉफ्टहाल ही में, इन सभी के उत्पादों या कॉर्पोरेट नेटवर्क में सेंधमारी हुई है। सेंधमारी होती रहती है।
10. HaveIBeenPwned.com रिपोर्ट के अनुसार, 11.9 अरब सार्वजनिक खाते ऑनलाइन उजागर हुए हैं। साइबरहूट का अनुमान है कि डार्क वेब पर 5 से 15 गुना ज़्यादा खाते उजागर हुए हैं।
11. यहां तक ​​कि सुरक्षा कंपनियां भी कार्बन ब्लैक, तथा आरएसए अतीत में उनके नेटवर्क में सेंधमारी और आईपी चोरी हो चुकी है। अब सवाल यह नहीं कि क्या होगा, बल्कि यह कि कब होगा। 

यह देखते हुए कि उल्लंघन किसी भी कंपनी में हो सकता है, जिसमें सुरक्षा पर केंद्रित कंपनियां भी शामिल हैं, आपको उन कंपनियों में क्या देखना चाहिए जिनका सॉफ्टवेयर आप खरीदते हैं?

साइबरहूट का मानना ​​है कि आपको यह विचार करना चाहिए कि डेटा ब्रीच की स्थिति में प्रत्येक कंपनी कितनी पारदर्शी होगी। लास्टपास ने सुरक्षा मुद्दों के बारे में वर्तमान में और अतीत में भी काफी पारदर्शिता बरती है ।

क्या मुझे लास्टपास का उपयोग बंद कर देना चाहिए?

नहीं। साइबरहूट को फिलहाल लास्टपास का इस्तेमाल बंद करने का कोई कारण नज़र नहीं आता। हम इस स्थिति पर नज़र रखते रहेंगे और जैसे-जैसे स्थिति आगे बढ़ेगी, रिपोर्ट करते रहेंगे।

लास्टपास उल्लंघन के आलोक में साइबरहूट की सिफारिशें:​

वही सलाह जो हम हमेशा से देते आए हैं, आपकी कंपनियों पर भी लागू होती है। यह कहना थोड़ा अटपटा लग सकता है, लेकिन अब, पहले से कहीं ज़्यादा, आपको अपने संगठनों में साइबर सुरक्षा को लेकर गंभीर होने और नीचे दिए गए इन तरीकों को अपनाने की ज़रूरत है। 

1. ​LastPass सहित किसी भी पासवर्ड मैनेजर तक पहुंचने के लिए हमेशा MFA को सक्षम करें।
2. इस घटना और पासवर्ड मैनेजर के उपयोग के लिए अपने निरंतर समर्थन के बारे में अपने उपयोगकर्ताओं को बताएं।
3. अपने कर्मचारियों को MFA, फ़िशिंग हमलों, पासवर्ड हाइजीन, रैंसमवेयर आदि पर प्रशिक्षित करें। प्रशिक्षण को नियमित (मासिक) बनाएँ।
4. पासवर्ड नीति सहित साइबर सुरक्षा प्रशासन नीतियों के साथ अपने कर्मचारियों को नियंत्रित करें।
5. इस तरह की स्थितियों का आकलन करने तथा अपने व्यवसाय के जोखिमों का प्रबंधन और शमन करने के लिए अपनी कंपनी में जोखिम प्रबंधन ढांचा तैयार करें।
6. अपने साइबर सुरक्षा कार्यक्रम और जोखिम लचीलापन बनाने में सहायता के लिए एक vCISO को नियुक्त करने पर विचार करें।

इन साइबर सुरक्षा सर्वोत्तम प्रथाओं का पालन करके, आप अपने SMB या MSP के लिए जोखिम को काफी कम कर सकते हैं।

अतिरिक्त पठन सामग्री एवं संसाधन:

नेकेड सिक्योरिटी का 23 दिसंबर का लेख लास्टपास ब्रीच पर

लास्टपास उल्लंघन पर नेकेड सिक्योरिटी चर्चा लेख

लास्टपास ब्लॉग में उल्लंघन और उनकी प्रतिक्रिया का विवरण