LastPass-brudd på bedriftsnettverk – hva du bør vite

Oppdatering man. 29. august : CyberHoot er ikke de eneste som advarer mot å kaste barnet ut med badevannet når de reagerer på sikkerhetsbruddet til LastPass-passordbehandlingsselskapet. Her er en annen utmerket artikkel fra vennene våre hos Naked Security (en annen flott kilde til informasjon og analyse av nettsikkerhet) om dette sikkerhetsbruddet. De støtter fortsatt bruken av Password Manager. De har til og med svar på de vanligste spørsmålene etter dette LastPass-bruddet.

25. august 2022 rapporterte LastPass et brudd på bedriftsnettverket til brukere av passordhåndteringsløsningen sin. De opplyste at ingen brukerdata ble stjålet, men kildekoden ble det. Siden CyberHoot anbefaler å ta i bruk en passordbehandler, tilbyr vi disse samtaleemnene til våre kunder og brukere. 

Fakta og diskusjonspunkter om LastPass-brudd

1. LastPass-produktet ble ikke hacket, men snarere bedriftsnettverket deres. Ingen klientdata av noe slag ble stjålet.
2. Ingen programvare som noen gang er skrevet er perfekt, inkludert LastPass, Excel eller noen annen passordbehandler. Kompromisser kan og vil skje.
3. Studier og historie har vist at selskaper som ikke tar i bruk en passordbehandler har flere sikkerhetsbrudd enn selskaper som gjør det (på grunn av gjenbruk av passord). (Kilde: Verizon-rapport om datainnbrudd)
4. Det er definitivt en dårlig ting å ha opplevd et sikkerhetsbrudd hos LastPass, men deres åpenhet om det er en god ting.
5. LastPass har blitt uavhengig bekreftet og følger beste praksis for kryptering av dataene dine og salting og hashing av hovedpassordet ditt.
6. Sikkerhetseksperter har gjennomgått og bekreftet at LastPass ikke har tilgang til dine krypterte data eller hovedpassord, og at de heller ikke kan få slik tilgang.
7. CyberHoot står ved sikkerhetsbransjens anbefaling om å ta i bruk en passordbehandler for den forbedrede sikkerheten den gir ansatte.
8. LastPass har en bug bounty-program å oppmuntre white-hat-hackere til å rapportere sikkerhetsproblemer på en ansvarlig måte i produktene sine. Dette er en veldig god ting.
9. Solvind, Cisco, Microsofthar alle hatt sikkerhetsbrudd i produktene sine eller bedriftsnettverket sitt nylig. Innbrudd skjer.
10. HaveIBeenPwned.com rapporterer 11.9 milliarder offentlige kontoer eksponert på nettet. CyberHoot anslår at 5 til 15 ganger flere kontoer er eksponert på det mørke nettet.
11. Selv sikkerhetsselskaper som Carbon Blackog RSA har hatt nettverksbrudd og IP-adresser stjålet tidligere. Det er ikke et spørsmål om om, men når. 

Gitt at sikkerhetsbrudd vil skje i alle selskaper, inkludert sikkerhetsfokuserte selskaper, hva bør du se etter hos selskapene du kjøper programvare fra?

CyberHoot mener at du bør vurdere hvor transparent hvert selskap vil være når de står overfor en sikkerhetsbruddsituasjon. LastPass har til deres ros vært svært transparente om sikkerhetsproblemer her og tidligere.

Bør jeg slutte å bruke LastPass?

Nei. CyberHoot ser ingen grunn til å slutte å bruke LastPass for øyeblikket. Vi vil fortsette å overvåke og rapportere om denne situasjonen etter hvert som den utvikler seg.

CyberHoot-anbefalinger i lys av LastPass-bruddet:​

Det samme rådet vi alltid har gitt gjelder for bedriftene deres. Det virker som en tropisme å si dette, men nå, mer enn noen gang før, må dere ta cybersikkerhet i organisasjonene deres på alvor og ta i bruk disse fremgangsmåtene nedenfor. 

1. Aktiver alltid MFA for tilgang til alle passordbehandlere, inkludert LastPass.
2. Kommuniser denne hendelsen og din fortsatte støtte til bruk av en passordbehandler til brukerne dine.
3. Lær opp dine ansatte i MFA, phishing-angrep, passordhygiene, ransomware og mer. Gjør opplæringen til en regelmessig forekomst (månedlig).
4. Styr dine ansatte med retningslinjer for cybersikkerhet, inkludert passordregler.
5. Bygg et rammeverk for risikostyring i bedriften din for å vurdere slike situasjoner, og håndtere og redusere risikoer for virksomheten din.
6. Vurder å ansette en vCISO for å hjelpe deg med å bygge ut cybersikkerhetsprogrammet og risikomotstandskraften din.

Ved å følge disse beste praksisene for cybersikkerhet kan du redusere risikoen for din SMB eller MSP betydelig.

Ytterligere lesestoff og ressurser:

Naked Security-artikkel fra 23. desember om LastPass-brudd

Naken sikkerhetsdiskusjonsartikkel om LastPass-bruddet

LastPass-blogg som beskriver sikkerhetsbruddet og deres respons