Pelanggaran Rangkaian Korporat LastPass – Apa yang Anda Perlu Tahu

Kemas Kini Isnin 29 Ogos : CyberHoot bukanlah satu-satunya yang memberi amaran tentang membuang Bayi dengan Air Mandi apabila bertindak balas terhadap pelanggaran syarikat pengurusan kata laluan LastPass. Berikut ialah satu lagi artikel yang sangat baik daripada rakan-rakan kami di Naked Security (satu lagi sumber maklumat dan analisis keselamatan siber yang hebat) tentang pelanggaran ini. Mereka tetap teguh menyokong Penerimaan Pengurus Kata Laluan. Mereka juga mempunyai jawapan mereka kepada soalan yang paling lazim ditanya susulan pelanggaran LastPass ini.

25 Ogos 2022, LastPass melaporkan pelanggaran rangkaian korporatnya kepada pengguna penyelesaian pengurusan kata laluannya. Mereka menyatakan bahawa tiada data pengguna dicuri, tetapi kod sumber telah dicuri. Memandangkan CyberHoot mengesyorkan menggunakan pengurus kata laluan, kami menyediakan titik perbincangan ini kepada pelanggan dan pengguna kami. 

Fakta Pelanggaran LastPass dan Perkara Perbincangan

1. Produk LastPass tidak dilanggar, sebaliknya rangkaian korporat mereka telah dilanggar. Tiada apa-apa jenis data pelanggan dicuri.
2. Tiada perisian yang pernah ditulis adalah sempurna, termasuk LastPass, Excel, atau mana-mana pengurus kata laluan lain. Kompromi boleh dan akan berlaku.
3. Kajian dan sejarah telah menunjukkan bahawa syarikat yang tidak menggunakan pengurus kata laluan mempunyai lebih banyak pelanggaran daripada syarikat yang melakukannya (disebabkan oleh penggunaan semula kata laluan). (Sumber: Laporan Pelanggaran Data Verizon)
4. Mengalami pelanggaran pastinya satu perkara yang buruk untuk berlaku di LastPass tetapi ketelusan mereka mengenainya adalah perkara yang baik.
5. LastPass telah disahkan secara bebas untuk mengikuti amalan terbaik untuk menyulitkan data anda dan mengasinkan serta mencincang kata laluan induk anda.
6. Pakar keselamatan telah menyemak dan mengesahkan LastPass tidak mempunyai akses kepada data anda yang disulitkan, kata laluan induk, dan mereka juga tidak boleh mendapat akses sedemikian.
7. CyberHoot berpegang teguh pada saranan industri keselamatan untuk menggunakan pengurus kata laluan untuk keselamatan yang dipertingkatkan yang disediakannya kepada pekerja.
8. LastPass mempunyai program bounty bug untuk menggalakkan penggodam topi putih melaporkan isu keselamatan secara bertanggungjawab dalam produk mereka. Ini adalah perkara yang sangat baik.
9. angin suria, Cisco, microsoft, semuanya telah mengalami pelanggaran dalam produk mereka atau rangkaian korporat mereka baru-baru ini. Pelanggaran berlaku.
10. HaveIBeenPwned.com melaporkan 11.9 Bilion akaun awam terdedah dalam talian. CyberHoot menganggarkan 5 hingga 15x lebih banyak akaun terdedah di web gelap.
11. Malah syarikat keselamatan suka Karbon Hitam, dan RSA telah mempunyai rangkaian mereka dilanggar dan IP dicuri pada masa lalu. Ia bukan persoalan jika tetapi bila. 

Memandangkan pelanggaran akan berlaku di mana-mana syarikat, termasuk syarikat yang memfokuskan keselamatan, apakah yang perlu anda cari dalam syarikat yang perisiannya anda beli?

CyberHoot percaya anda harus mempertimbangkan sejauh mana ketelusan setiap syarikat apabila menghadapi situasi pelanggaran. LastPass, atas penghargaan mereka, telah sangat telus tentang isu keselamatan di sini dan pada masa lalu.

Sekiranya saya berhenti menggunakan LastPass?

Tidak. CyberHoot tidak nampak apa-apa sebab buat masa ini untuk berhenti menggunakan LastPass. Kami akan terus memantau dan melaporkan keadaan ini apabila ia berkembang.

Syor CyberHoot berdasarkan Pelanggaran LastPass:​

Nasihat yang sama yang selalu kami berikan terpakai kepada syarikat anda. Nampaknya seperti tropisme untuk mengatakan ini, tetapi kini, lebih daripada sebelumnya anda perlu serius tentang keselamatan siber dalam organisasi anda dan mengamalkan amalan ini di bawah. 

1. Sentiasa dayakan MFA untuk mengakses mana-mana Pengurus Kata Laluan, termasuk LastPass.
2. Sampaikan kejadian ini dan sokongan berterusan anda menggunakan Pengurus Kata Laluan kepada pengguna anda.
3. Latih pekerja anda tentang MFA, serangan pancingan data, kebersihan kata laluan, perisian tebusan dan banyak lagi. Jadikan latihan sebagai kejadian biasa (bulanan).
4. Tadbir pekerja anda dengan dasar tadbir urus keselamatan siber termasuk Dasar Kata Laluan.
5. Bina rangka kerja pengurusan risiko di syarikat anda untuk menilai situasi seperti ini dan mengurus serta mengurangkan risiko kepada perniagaan anda.
6. Pertimbangkan untuk mengupah vCISO untuk membantu anda dalam membina program keselamatan siber dan daya tahan risiko anda.

​Dengan mengikuti amalan terbaik keselamatan siber ini, anda boleh mengurangkan risiko kepada SMB atau MSP anda dengan ketara.

Bacaan dan Sumber Tambahan:

Keselamatan Bogel Artikel 23 Disember mengenai Pelanggaran LastPass

Artikel Perbincangan Keselamatan Telanjang mengenai Pelanggaran LastPass

Blog LastPass menggariskan pelanggaran dan tindak balas mereka