Update LastPass-inbreuk – 22 augustus – 22 december

27 december 2022 | Adviserend, Blog

Update over de inbreuk op LastPass 2022

Update 26 januari 3:

CyberHoot heeft een nieuw artikel over LastPass geschreven, getiteld "De druppel die de emmer deed overlopen" (Last Straw for LastPass), waarin criteria worden beschreven voor het kiezen van een vervangende wachtwoordmanager.

Update 23 van 2022 december 2:

Naked Security heeft een artikel gepubliceerd waarin ze hun visie geven op het LastPass-lek en toegeven dat versleutelde kluizen zijn gestolen. Ze delen een aantal nuttige opmerkingen en inzichten. Dit zette CyberHoot aan het denken…

We hebben onze creditcardgegevens in LastPass opgeslagen om het invullen van formulieren te vereenvoudigen. Gaan we onze creditcards annuleren en nieuwe aanvragen? Persoonlijk denk ik van niet. Mijn hoofdwachtwoord was zo lang en complex dat het kraken ervan, volgens de wachtwoordsterktemeter van deze website , 7 quadriljoen jaar zou duren. Pff! Dat is een opluchting.

23 december 2022: Update over de CyberHoot LastPass-inbreuk:

LastPass heeft nieuwe informatie vrijgegeven over hun laatste aankondiging van de inbreuk op 30 november, waarin hun monitoring een nieuwe inbreuk aan het licht bracht (gekoppeld aan de inbreuk in augustus). In deze update van 12 december 22 geven ze toe dat ze ervan overtuigd zijn dat 2022-bits AES-gecodeerde wachtwoordkluizen van klanten van een derde partij zijn gestolen. Dit is de eerste keer dat ze erkennen dat klantgegevens in gevaar waren. Hier is hun kijk op de situatie:

22 december, LastPass-blogupdate:

Als u de bovenstaande standaardinstellingen gebruikt, zou het miljoenen jaren duren om uw hoofdwachtwoord te raden met behulp van algemeen beschikbare technologie voor het kraken van wachtwoorden. Uw gevoelige kluisgegevens, zoals gebruikersnamen en wachtwoorden, beveiligde notities, bijlagen en formuliervelden, blijven veilig versleuteld dankzij de Zero Knowledge-architectuur van LastPass. Er zijn momenteel geen aanbevolen acties die u hoeft te ondernemen.

Het is echter belangrijk om te weten dat als uw hoofdwachtwoord niet de bovenstaande standaardwaarden gebruikt, dit het aantal pogingen om het correct te raden aanzienlijk vermindert. In dit geval kunt u, als extra veiligheidsmaatregel, overwegen om het risico te minimaliseren door de wachtwoorden van websites die u hebt opgeslagen te wijzigen.

Dus, wat betekent dit voor alle LastPass-gebruikers, of voor bedrijven die LastPass al voor hun gebruikers hebben geïmplementeerd? Het is eigenlijk een hoop werk.

Impactbeoordeling van CyberHoot:

Ons personeel weet het volgende: in veel van de LastPass-omgevingen die we de afgelopen tien jaar hebben beheerd, hebben we ondanks onze trainingsvideo's en ons wachtwoordbeleid, dat een minimum van 14 tekens vereist (2 tekens langer dan de standaardinstellingen van LastPass), veel zwakke hoofdwachtwoorden gezien . Gezien het algemene gebrek aan goede wachtwoordhygiëne, doet CyberHoot naar aanleiding van deze nieuwe datalekinformatie van LastPass de volgende aanbevelingen aan iedereen die LastPass privé of zakelijk gebruikt:

Informeer uw gebruikers over deze inbreuk en vermeld het volgende: “Controleer vandaag nog de lengte van uw wachtwoord. Als u een hoofdwachtwoord gebruikte dat korter was dan 12 tekens, moet u uw hoofdwachtwoord vandaag nog wijzigen."
Als je een hoofdwachtwoord had van 12 tekens of meer, kun je nog steeds het onderstaande advies volgen, maar we denken niet dat dit 100% noodzakelijk is. Je kunt doorgaan naar stap 3.3 hieronder. Als je wachtwoord echter korter was, met name die 8 of 9 tekens of korter, ga dan verder met stap 3.
Als u uw hoofdwachtwoord wijzigt vanwege aanbeveling #1 hierboven, doe dan ook het volgende: ELK VAN DE VOLGENDE:
1. 1. Maak van het nieuwe hoofdwachtwoord een wachtwoordzin van 14 tot 20 tekens! Bekijk dit CyberHoot-wachtwoorden en wachtwoordzinnenvideo voor nuttige tips.
  2. Wijzig de wachtwoorden van AL UW KRITISCHE ACCOUNTS die zijn opgeslagen in uw wachtwoordkluis[Opmerking: ja, we horen het collectieve gekreun over deze suggestie. Doe het toch.] De reden hiervoor is dat als je een kort wachtwoord had dat met brute force-aanvallen gekraakt kon worden, al je wachtwoorden gevaar lopen. Je hebt maar een korte tijd voordat de LastPass-hackers theoretisch je kluis kunnen aanvallen en je account met brute force-aanvallen kunnen kraken. Wijzig daarom, uit voorzorg, al je belangrijke accountwachtwoorden om ze te beschermen tegen hackers.CyberHoot-tip: Wijzig eerst uw e-mailwachtwoord als u het niet hebt gekoppeld aan multi-factor-authenticatie (ook wel MFA genoemd).
  3. Schakel multi-factor-toegang in voor uw LastPass-wachtwoordkluis. Gebruik een Authenticator-app (dit hoeft niet LastPass Authenticator te zijn). Authenticator-apps zijn veiliger dan Text Messaging MFA.CyberHoot-notitie:Het inschakelen van MFA doet NIETS om de gestolen kluizen bij deze LastPass-inbraak te beschermen. De dieven zullen de wachtwoordkluizen proberen te hacken met behulp van brute kracht, uitsluitend op basis van de sterkte (lengte) van het door u ingestelde hoofdwachtwoord.]
Deze stap geldt voor IEDEREEN. Inschakelen Multi-factor authenticatie (MFA), met behulp van een Authenticator-app, of als je echt een hardcore security-expert bent, een Yubikey Hardware token, op al uw online accounts die MFA ondersteunen. Dit voorkomt dat zelfs een gehackte LastPass-kluis leidt tot het hacken van uw MFA-beveiligde accounts. MFA is uw vriend. Het lijkt soms misschien vervelend, maar de waarheid is dat de pijn van een hack veel erger is. Doe dit vandaag.

Levensvatbaarheid van LastPass voor CyberHoot: Vraag: Vindt CyberHoot LastPass een levensvatbare oplossing gezien dit datalek en eerdere datalekken waarmee ze te maken hebben gehad?

Antwoord: We kunnen die vraag niet voor u beantwoorden. Voor Cyberhoot blijven we LastPass gebruiken, omdat we er op dit moment volledig in geïnvesteerd hebben. Onze hoofdwachtwoorden zijn VEEL LANGER dan 12 tekens, waardoor het onwaarschijnlijk is dat de hackers bij de diefstal van onze kluis iets buitgemaakt zullen hebben. Bovendien, hoe pijnlijk deze gebeurtenis ook is geweest voor LastPass, het toont hun toewijding aan transparantie en beveiliging. Het zou voor hen veel gemakkelijker zijn geweest om dit incident te verbergen door het onder het tapijt te vegen. Dat hebben ze niet gedaan. Wij willen een bedrijf dat transparant is. Dat fouten toegeeft wanneer ze zich voordoen. Dat geavanceerde monitoring heeft om beveiligingsincidenten te detecteren (zoals ze in dit geval hebben gedaan). En dat er eerlijk en openlijk over rapporteert. We sluiten af met een uitspraak die al lange tijd door de FBI wordt geciteerd, omdat deze van toepassing is op ALLE bedrijven en ALLE leveranciers van wachtwoordbeheersoftware.

“ Er bestaan twee soorten bedrijven in deze wereld. Bedrijven die weten dat ze gehackt zijn, en bedrijven die niet weten dat ze gehackt zijn.”

We weten wanneer en hoe LastPass hier is gehackt. Weten we iets over andere leveranciers van wachtwoordmanagers die gehackt zijn?

Volledige transparantie: CyberHoot heeft geen cent verdiend aan LastPass, op geen enkele manier, via een verwijzingsprogramma of anderszins. We hebben waarschijnlijk duizenden dollars aan verwijzingsinkomsten misgelopen omdat we in onze berichtgeving volledig onafhankelijk wilden blijven.