LastPass 기업 네트워크 침해 – 알아야 할 사항

8월 29일 월요일 업데이트 : 사이버후트(CyberHoot)는 라스트패스(LastPass) 비밀번호 관리 시스템 데이터 유출 사태에 대해 성급하게 대응하지 말라고 경고하는 유일한 곳이 아닙니다. 사이버 보안 정보 및 분석 분야의 또 다른 훌륭한 자료 제공처인 네이키드 시큐리티 (Naked Security)에서도 이번 유출 사태에 대한 심층 분석을 담은 기사를 게재했습니다. 네이키드 시큐리티는 비밀번호 관리 시스템 도입을 강력히 지지하며, 라스트패스 유출 사태 이후 가장 많이 제기되는 질문들에 대한 답변도 제공하고 있습니다.

2022년 8월 25일, LastPass는 비밀번호 관리 솔루션 사용자에게 회사 네트워크 침해 사실을 보고했습니다. 사용자 데이터는 유출되지 않았지만 소스 코드가 유출되었다고 밝혔습니다. CyberHoot에서는 비밀번호 관리자 도입을 권장하고 있으므로, 고객과 사용자에게 다음과 같은 내용을 안내해 드립니다. 

LastPass 침해 사실 및 토론 주제

1. LastPass 제품은 침해된 것이 아니라, 회사 네트워크가 침해되었습니다. 어떤 종류의 고객 데이터도 도난당하지 않았습니다.
2. LastPass, Excel, 또는 다른 비밀번호 관리자를 포함하여, 지금까지 만들어진 어떤 소프트웨어도 완벽할 수는 없습니다. 보안 침해는 언제든 발생할 수 있으며, 실제로 발생할 것입니다.
3. 연구와 역사에 따르면 비밀번호 관리자를 도입하지 않은 회사는 비밀번호 재사용으로 인해 도입한 회사보다 보안 침해 사고가 더 많습니다. (출처: Verizon 데이터 침해 보고서)
4. LastPass에서 데이터 침해를 경험하는 것은 분명 나쁜 일이지만, 이에 대한 투명성을 보이는 것은 좋은 일입니다.
5. LastPass는 데이터 암호화, 마스터 비밀번호의 솔팅 및 해싱에 대한 모범 사례를 따르고 있다는 점이 독립적으로 검증되었습니다.
6. 보안 전문가들은 LastPass가 사용자의 암호화된 데이터와 마스터 비밀번호에 접근할 수 없으며, 그러한 접근 권한을 얻을 수도 없다는 것을 검토하여 확인했습니다.
7. CyberHoot은 직원들에게 제공하는 강화된 보안을 위해 비밀번호 관리자를 도입하라는 보안 업계의 권고를 지지합니다.
8. LastPass에는 버그 현상금 프로그램 화이트 해커들이 자사 제품의 보안 문제를 책임감 있게 보고하도록 장려하기 위한 조치입니다. 매우 바람직한 일입니다.
9. 태양풍, 시스코, Microsoft최근 자사 제품이나 회사 네트워크에서 보안 침해가 발생한 기업은 모두 있습니다. 보안 침해는 발생할 수 있습니다.
10. HaveIBenPwned.com 11.9억 개의 공개 계정이 온라인에 노출되었다고 보고합니다. CyberHoot은 다크웹에서 5~15배 더 많은 계정이 노출될 것으로 추정합니다.
11. 보안 회사도 마찬가지입니다. 카본 블랙예산 및 RSA 과거에도 네트워크가 침해당하고 IP가 도용된 적이 있습니다. 문제는 '~할지'가 아니라 '언제'입니다. 

보안에 중점을 둔 회사를 포함하여 모든 회사에서 침해가 발생할 수 있다는 점을 감안할 때, 소프트웨어를 구매할 때 어떤 점을 살펴봐야 할까요?

CyberHoot은 데이터 유출 상황에 직면했을 때 각 회사가 얼마나 투명하게 대응할지를 ​​고려해야 한다고 생각합니다. LastPass는 보안 문제에 대해 매우 투명하게 대응해 왔으며, 이는 긍정적인 평가로 이어질 것 입니다.

LastPass 사용을 중단해야 할까요?

아니요. CyberHoot은 현재 LastPass 사용을 중단할 이유가 없다고 생각합니다. 상황이 진행되는 대로 계속해서 모니터링하고 보고하겠습니다.

LastPass 침해 사건에 따른 CyberHoot 권장 사항:​

저희가 항상 해왔던 조언이 귀사에도 적용됩니다. 이렇게 말하는 것이 다소 편협하게 들릴 수도 있지만, 지금은 그 어느 때보다 조직 내 사이버 보안에 대해 진지하게 생각하고 아래 지침을 채택해야 할 때입니다. 

1. LastPass를 포함한 모든 비밀번호 관리자에 액세스할 수 있도록 항상 MFA를 활성화하세요.
2. 이 사건과 비밀번호 관리자 사용에 대한 지속적인 지원을 사용자에게 알리세요.
3. 직원들에게 MFA, 피싱 공격, 비밀번호 관리, 랜섬웨어 등에 대한 교육을 실시하세요. 정기 교육(매월)을 실시하세요.
4. 비밀번호 정책을 포함한 사이버 보안 거버넌스 정책으로 직원을 관리하세요.
5. 이와 같은 상황을 평가하고, 회사의 위험을 관리하고 완화하기 위해 회사에서 위험 관리 프레임워크를 구축하세요.
6. 사이버 보안 프로그램과 위험 회복력을 구축하는 데 도움을 줄 vCISO를 고용하는 것을 고려해보세요.

이러한 사이버 보안 모범 사례를 따르면 SMB 또는 MSP에 대한 위험을 크게 줄일 수 있습니다.

추가 자료 및 자료:

Naked Security 12월 23일자 LastPass 침해 관련 기사

LastPass 침해에 대한 Naked Security 토론 기사

침해 사례와 대응 방안을 설명하는 LastPass 블로그