Violazione della rete aziendale LastPass: cosa dovresti sapere

Aggiornamento di lunedì 29 agosto : CyberHoot non è l'unico a mettere in guardia dal gettare via il bambino con l'acqua sporca in seguito alla violazione dei dati di LastPass. Ecco un altro ottimo articolo dei nostri amici di Naked Security (un'altra ottima fonte di informazioni e analisi sulla sicurezza informatica) riguardo a questa violazione. Continuano a sostenere con fermezza l'adozione di gestori di password. Hanno persino risposto alle domande più frequenti poste dopo la violazione di LastPass.

Il 25 agosto 2022, LastPass ha segnalato una violazione della sua rete aziendale agli utenti della sua soluzione di gestione delle password. L'azienda ha dichiarato che non sono stati rubati dati utente, ma solo il codice sorgente. Poiché CyberHoot consiglia l'adozione di un gestore di password, forniamo questi spunti di riflessione ai nostri clienti e utenti. 

Fatti e punti di discussione sulla violazione di LastPass

1. Non è stato violato il prodotto LastPass, ma la loro rete aziendale. Non sono stati rubati dati dei clienti di alcun tipo.
2. Nessun software è mai stato scritto perfetto, inclusi LastPass, Excel o qualsiasi altro gestore di password. I compromessi possono accadere e accadrà.
3. Studi e dati storici hanno dimostrato che le aziende che non adottano un gestore di password subiscono più violazioni rispetto a quelle che lo fanno (a causa del riutilizzo delle password). (Fonte: Rapporto sulla violazione dei dati di Verizon)
4. Avere subito una violazione è sicuramente una cosa negativa per LastPass, ma la loro trasparenza al riguardo è positiva.
5. È stato verificato in modo indipendente che LastPass segue le migliori pratiche per la crittografia dei dati, nonché per il salting e l'hashing della password principale.
6. Gli esperti di sicurezza hanno esaminato e verificato che LastPass non ha accesso ai tuoi dati crittografati, alle tue password principali, né potrebbe ottenere tale accesso.
7. CyberHoot sostiene la raccomandazione del settore della sicurezza di adottare un gestore di password per migliorare la sicurezza offerta ai dipendenti.
8. LastPass ha un programma di bug bug Incoraggiare gli hacker white-hat a segnalare responsabilmente i problemi di sicurezza nei loro prodotti. Questa è un'ottima cosa.
9. Venti solari, Cisco, Microsoft, hanno tutti subito violazioni nei loro prodotti o nella loro rete aziendale di recente. Le violazioni capitano.
10. HaveIBeenPwned.com Segnala 11.9 miliardi di account pubblici esposti online. CyberHoot stima che nel dark web siano esposti da 5 a 15 volte più account.
11. Anche le aziende di sicurezza come Carbon Blacke RSA In passato, le loro reti sono state violate e gli IP sono stati rubati. Non è una questione di se, ma di quando. 

Considerando che le violazioni possono verificarsi in qualsiasi azienda, comprese quelle focalizzate sulla sicurezza, cosa dovresti cercare nelle aziende di cui acquisti il software?

CyberHoot ritiene che sia importante valutare il livello di trasparenza di ciascuna azienda in caso di violazione dei dati. LastPass, a suo merito, si è dimostrata molto trasparente in merito alle problematiche di sicurezza, sia in questa occasione che in passato.

Dovrei smettere di usare LastPass?

No. CyberHoot non vede al momento alcun motivo per interrompere l'utilizzo di LastPass. Continueremo a monitorare la situazione e a segnalarla man mano che si evolve.

Raccomandazioni di CyberHoot alla luce della violazione di LastPass:​

Gli stessi consigli che abbiamo sempre dato valgono anche per le vostre aziende. Sembra un luogo comune dirlo, ma ora più che mai dovete prendere sul serio la sicurezza informatica nelle vostre organizzazioni e adottare le pratiche illustrate di seguito. 

1. Abilitare sempre MFA per accedere a qualsiasi gestore di password, incluso LastPass.
2. Comunica ai tuoi utenti questo incidente e il tuo continuo supporto all'utilizzo di un gestore di password.
3. Forma i tuoi dipendenti su MFA, attacchi di phishing, igiene delle password, ransomware e altro ancora. Fai in modo che la formazione diventi un appuntamento regolare (mensile).
4. Gestisci i tuoi dipendenti con policy di governance della sicurezza informatica, tra cui una policy sulle password.
5. Crea un quadro di gestione del rischio nella tua azienda per valutare situazioni come questa e gestire e mitigare i rischi per la tua attività.
6. Prendi in considerazione l'assunzione di un vCISO che ti assista nello sviluppo del tuo programma di sicurezza informatica e di resilienza al rischio.

Seguendo queste buone pratiche di sicurezza informatica, puoi ridurre significativamente i rischi per la tua PMI o MSP.

Ulteriori letture e risorse:

Articolo di Naked Security del 23 dicembre sulla violazione di LastPass

Articolo di discussione sulla sicurezza nuda sulla violazione di LastPass

Blog di LastPass che descrive la violazione e la loro risposta