LastPass Corporate Network-inbreuk: wat u moet weten

Update maandag 29 augustus : CyberHoot is niet de enige die waarschuwt voor het overhaast afwijzen van de beveiligingslek bij wachtwoordmanager LastPass. Hier is nog een uitstekend artikel van onze vrienden van Naked Security (ook een geweldige bron van informatie en analyses over cybersecurity) over dit datalek. Zij blijven onverminderd voorstander van het gebruik van wachtwoordmanagers. Ze hebben zelfs antwoorden op de meest gestelde vragen naar aanleiding van dit LastPass-datalek.

Op 25 augustus 2022 meldde LastPass een inbreuk op het bedrijfsnetwerk aan gebruikers van hun wachtwoordbeheeroplossing. Ze verklaarden dat er geen gebruikersgegevens waren gestolen, maar wel de broncode. Omdat CyberHoot het gebruik van een wachtwoordbeheerder aanbeveelt, delen we deze aandachtspunten met onze klanten en gebruikers. 

Feiten en gespreksonderwerpen over de LastPass-inbreuk

1. Niet het LastPass-product werd gehackt, maar wel hun bedrijfsnetwerk. Er werden geen klantgegevens gestolen.
2. Geen enkele software is perfect, zelfs LastPass, Excel of welke andere wachtwoordbeheerder dan ook. Compromissen kunnen en zullen voorkomen.
3. Uit onderzoek en de geschiedenis blijkt dat bedrijven die geen wachtwoordbeheerder gebruiken, vaker beveiligingslekken hebben dan bedrijven die dat wel doen (door hergebruik van wachtwoorden). (Bron: Verizon Data Breach Report)
4. Het is natuurlijk vervelend als er bij LastPass een datalek optreedt, maar hun transparantie hierover is een goede zaak.
5. Uit onafhankelijk onderzoek is gebleken dat LastPass de best practices volgt voor het versleutelen van uw gegevens en het toepassen van de hashfunctie van uw hoofdwachtwoord.
6. Beveiligingsexperts hebben gecontroleerd en geverifieerd dat LastPass geen toegang heeft tot uw versleutelde gegevens of hoofdwachtwoorden, en dat zij ook geen toegang tot die gegevens zouden kunnen krijgen.
7. CyberHoot staat achter het advies van de beveiligingsindustrie om een wachtwoordbeheerder te implementeren vanwege de verbeterde beveiliging die het biedt aan werknemers.
8. LastPass heeft een bug bounty programma om white-hat hackers aan te moedigen om beveiligingsproblemen in hun producten op een verantwoorde manier te melden. Dit is een zeer goede zaak.
9. Zonnewinden, Cisco, Microsofthebben allemaal recentelijk te maken gehad met inbreuken op hun producten of bedrijfsnetwerk. Inbreuken gebeuren nu eenmaal.
10. HaveIBeenPwned.com meldt dat 11.9 miljard openbare accounts online openbaar zijn. CyberHoot schat dat er 5 tot 15 keer meer accounts op het dark web openbaar zijn.
11. Zelfs beveiligingsbedrijven zoals Carbon Blacken  RSA hebben in het verleden te maken gehad met een inbreuk op hun netwerk en gestolen IP-adressen. De vraag is niet of, maar wanneer. 

Aangezien er bij elk bedrijf beveiligingsinbreuken kunnen voorkomen, dus ook bij bedrijven die zich richten op beveiliging, waar moet u dan op letten bij de bedrijven waarvan u de software koopt?

CyberHoot is van mening dat je moet kijken naar hoe transparant elk bedrijf zal zijn in geval van een datalek. LastPass is, tot hun verdienste, zowel hier als in het verleden zeer transparant geweest over beveiligingsproblemen.

Moet ik LastPass niet meer gebruiken?

Nee. CyberHoot ziet momenteel geen reden om te stoppen met LastPass. We blijven deze situatie volgen en rapporteren naarmate deze zich ontwikkelt.

Aanbevelingen van CyberHoot in het licht van de LastPass-inbreuk:​

Hetzelfde advies dat we altijd hebben gegeven, geldt ook voor uw bedrijven. Het lijkt misschien een cliché, maar nu, meer dan ooit tevoren, moet u cybersecurity in uw organisaties serieus nemen en de onderstaande maatregelen nemen. 

1. Schakel MFA altijd in om toegang te krijgen tot elke wachtwoordbeheerder, inclusief LastPass.
2. Communiceer dit incident en uw voortdurende steun voor het gebruik van een wachtwoordbeheerder aan uw gebruikers.
3. Train uw medewerkers in MFA, phishingaanvallen, wachtwoordhygiëne, ransomware en meer. Zorg ervoor dat de training regelmatig (maandelijks) plaatsvindt.
4. Beheer uw medewerkers met beleid voor cyberbeveiliging, inclusief een wachtwoordbeleid.
5. Creëer een risicomanagementkader binnen uw bedrijf om dergelijke situaties te beoordelen en de risico's voor uw bedrijf te beheren en te beperken.
6. Overweeg om een vCISO in te huren om u te helpen bij het uitbouwen van uw cybersecurityprogramma en risicobestendigheid.

Door deze best practices voor cyberbeveiliging te volgen, kunt u het risico voor uw MKB of MSP aanzienlijk verminderen.

Aanvullende literatuur en bronnen:

Naked Security, artikel van 23 december over de LastPass-inbreuk

Discussieartikel over de beveiliging van LastPass

LastPass-blog waarin de inbreuk en hun reactie worden beschreven