Aggiornamento sulla violazione di LastPass – 22 agosto – 22 dicembre

Aggiornamento 26 del 3 gennaio:

CyberHoot ha pubblicato un nuovo articolo su LastPass, intitolato "La goccia che fa traboccare il vaso" (The Last Straw for LastPass), che include anche i criteri per la scelta di un gestore di password alternativo.

Aggiornamento 23 del 2022 dicembre 2:

Naked Security ha pubblicato un articolo in cui espone la propria versione della violazione di LastPass e ammette che i vault crittografati sono stati rubati. L'articolo contiene alcuni commenti e spunti di riflessione interessanti. Questo ha fatto riflettere ulteriormente CyberHoot…

Abbiamo memorizzato i dati della nostra carta di credito su LastPass per semplificare la compilazione dei moduli. Annulleremo e richiederemo nuove carte di credito? Personalmente, non lo farò. La mia password principale era così lunga e complessa che, secondo il misuratore di robustezza delle password di questo sito web, ci sarebbero voluti ben 7 quadrilioni di anni per decifrarla! Meno male!

23 dicembre 2022: aggiornamento sulla violazione di LastPass di CyberHoot:

LastPass ha rilasciato nuove informazioni sul suo ultimo annuncio di violazione del 30 novembre, in cui il monitoraggio ha identificato una nuova violazione (collegata a quella di agosto). In questo aggiornamento del 12/22/2022, l'azienda ammette di ritenere che gli archivi di password dei clienti crittografati con AES a 256 bit siano stati rubati da terze parti. È la prima volta che riconosce che i dati dei clienti sono a rischio. Ecco il loro punto di vista sulla situazione:

22 dicembre, aggiornamento del blog LastPass:  

Se utilizzi le impostazioni predefinite sopra indicate, ci vorrebbero milioni di anni per indovinare la tua password principale utilizzando la tecnologia di cracking delle password generalmente disponibile. I dati sensibili del tuo vault, come nomi utente e password, note sicure, allegati e campi di compilazione dei moduli, rimangono crittografati in modo sicuro grazie all'architettura Zero Knowledge di LastPass. Al momento non ci sono azioni consigliate da intraprendere.

Tuttavia, è importante notare che se la password principale non utilizza le impostazioni predefinite sopra indicate, si ridurrà significativamente il numero di tentativi necessari per indovinarla correttamente. In questo caso, come ulteriore misura di sicurezza, si consiglia di ridurre al minimo il rischio modificando le password dei siti web memorizzati.

Quindi, cosa significa questo per tutti voi utenti di LastPass, o per le aziende che hanno implementato LastPass per i propri utenti? Un sacco di lavoro, in realtà.

Valutazione dell'impatto di CyberHoot:

Il nostro staff sa per certo quanto segue: in molti degli ambienti LastPass che abbiamo supervisionato nell'ultimo decennio, nonostante i nostri video di formazione e le nostre policy sulle password che richiedono un minimo di 14 caratteri (2 in più rispetto alle password predefinite di LastPass), abbiamo riscontrato numerose password principali DEBOLI . Pertanto, data la generale mancanza di solide pratiche di gestione delle password, queste nuove informazioni sulla violazione dei dati di LastPass inducono CyberHoot a formulare le seguenti raccomandazioni a chiunque utilizzi LastPass, sia a livello personale che aziendale:

1. Informa i tuoi utenti di questa violazione e affermare quanto segue: “Calcola la lunghezza della tua password oggi stesso. Se hai utilizzato una password principale più corta di 12 caratteri, devi cambiarla oggi stesso."
2. Se avessi una password principale di 12 o più caratteri, potresti comunque seguire i consigli qui sotto, ma non crediamo che siano necessari al 100%. Puoi ANDARE AL PASSO 3.3. Tuttavia, se la tua password fosse più corta, in particolare se lunga 8 o 9 caratteri, o se fosse più corta, vai al passo 3.
3. Se stai modificando la tua password principale a causa del consiglio n. 1 sopra, allora fallo anche OGNUNO DEI seguenti:
   1. 1. Rendi la nuova password principale una passphrase lunga da 14 a 20 caratteri! Guarda questo Video sulle password e le passphrase di CyberHoot per consigli utili.
      2. Cambia le password di TUTTI i TUOI ACCOUNT CRITICI memorizzati nel tuo Vault Password[Nota: sì, sentiamo il lamento collettivo su questo suggerimento. Fatelo comunque.] Il motivo è che se avete una password breve che potrebbe essere soggetta a un attacco di forza bruta, tutte le vostre password potrebbero essere a rischio. Avete un breve lasso di tempo prima che gli hacker di LastPass possano teoricamente prendere di mira il vostro Vault e forzare il vostro account. Pertanto, per eccesso di cautela, modificate tutte le password critiche dei vostri account per proteggerle da eventuali compromissioni.Suggerimento CyberHoot: Cambia prima la password della tua email se non è associata all'autenticazione a più fattori (MFA).
      3. Abilita l'accesso multifattoriale al tuo Vault password LastPass.  Utilizza un'app di autenticazione (non deve essere necessariamente LastPass Authenticator). Le app di autenticazione sono più sicure dell'autenticazione a più fattori tramite messaggistica di testo.Nota di CyberHoot: abilitare l'MFA NON serve a nulla per proteggere i vault rubati in questa violazione di LastPass. I ladri cercheranno di accedere ai vault delle password sfruttando esclusivamente la robustezza (lunghezza) della password principale impostata.
4. Questo passaggio vale per TUTTI. Abilitare Autenticazione a più fattori (MFA), utilizzando un'app di autenticazione o, se sei davvero un fanatico della sicurezza, un Yubikey token hardware, su tutti i tuoi account online che supportano l'autenticazione a più fattori (MFA). Questo impedirebbe persino che una violazione di LastPass comprometta i tuoi account protetti da MFA. L'autenticazione a più fattori è tua amica. A volte può sembrare una seccatura, ma la verità è che il dolore di una compromissione è molto peggiore.  Fallo oggi stesso.

Valutazione di fattibilità di LastPass da parte di CyberHoot: D: CyberHoot ritiene che LastPass sia una soluzione valida, considerando questa violazione dei dati e quelle precedenti che ha subito?

Risposta: Non possiamo rispondere a questa domanda. Per Cyberhoot, continueremo a utilizzare LastPass, dato che ormai ci affidiamo completamente a questo servizio. Le nostre password principali sono MOLTO più lunghe di 12 caratteri, il che rende improbabile che il furto del nostro vault possa portare a qualcosa di utile per gli hacker in questione. Inoltre, per quanto spiacevole sia stato questo episodio per LastPass, dimostra il loro impegno per la trasparenza e la sicurezza. Sarebbe stato probabilmente molto più facile per loro nascondere l'incidente, insabbiandolo. Non l'hanno fatto. Vogliamo un'azienda trasparente, che ammetta gli errori quando accadono, che disponga di un monitoraggio avanzato per rilevare gli eventi di sicurezza (come hanno fatto in questo caso) e che ne parli in modo onesto e aperto. Concludiamo con una dichiarazione che l'FBI cita spesso, perché si applica a TUTTE le aziende e a TUTTI i fornitori di software per la gestione delle password.

" Esistono due tipi di aziende al mondo: quelle che sanno di essere state hackerate e quelle che non lo sanno."

Sappiamo quando e come LastPass è stato hackerato. Sappiamo se altri fornitori di gestori di password sono stati hackerati?

Massima trasparenza: CyberHoot non ha guadagnato un solo centesimo da LastPass, in alcun modo, né tramite programmi di affiliazione né in altro modo. Probabilmente abbiamo rinunciato a migliaia di dollari di potenziali clienti grazie ai programmi di affiliazione, proprio per la nostra volontà di mantenere la massima indipendenza nella redazione dei report.

Fonti:

Articolo di Naked Security del 23 dicembre sulla violazione di LastPass

Blog di LastPass che descrive la violazione e la loro risposta

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora