Violação de rede corporativa do LastPass – O que você deve saber

Atualização de segunda-feira, 29 de agosto : O CyberHoot não é o único a alertar sobre os riscos de descartar tudo sem pensar nas consequências da violação de segurança da LastPass. Aqui está outro excelente artigo dos nossos amigos da Naked Security (outra ótima fonte de informações e análises sobre segurança cibernética) sobre essa violação. Eles continuam defendendo firmemente a adoção de gerenciadores de senhas. Inclusive, eles têm respostas para as perguntas mais frequentes após a violação da LastPass.

Em 25 de agosto de 2022, a LastPass relatou uma violação de sua rede corporativa aos usuários de sua solução de gerenciamento de senhas. Eles afirmaram que nenhum dado do usuário foi roubado, mas o código-fonte foi. Como a CyberHoot recomenda a adoção de um gerenciador de senhas, estamos disponibilizando estes pontos de discussão aos nossos clientes e usuários. 

Fatos e pontos de discussão sobre a violação do LastPass

1. O produto LastPass não foi violado, mas sim a rede corporativa. Nenhum dado de cliente de qualquer tipo foi roubado.
2. Nenhum software já escrito é perfeito, incluindo LastPass, Excel ou qualquer outro gerenciador de senhas. Comprometimentos podem e vão acontecer.
3. Estudos e dados históricos mostram que empresas que não adotam um gerenciador de senhas sofrem mais violações de segurança do que empresas que o fazem (devido à reutilização de senhas). (Fonte: Relatório de violação de dados da Verizon)
4. Sofrer uma violação de dados é definitivamente algo ruim no LastPass, mas a transparência sobre isso é algo bom.
5. O LastPass foi verificado de forma independente para garantir que segue as melhores práticas para criptografar seus dados e fazer o salt e o hash da sua senha mestra.
6. Especialistas em segurança revisaram e verificaram que o LastPass não tem acesso aos seus dados criptografados, senhas mestras, nem poderia obter tal acesso.
7. A CyberHoot segue a recomendação do setor de segurança de adotar um gerenciador de senhas para aumentar a segurança que ele oferece aos funcionários.
8. LastPass tem um programa de recompensa de bugs para incentivar hackers white-hat a relatar problemas de segurança em seus produtos de forma responsável. Isso é muito bom.
9. Ventos solares, Cisco, Microsoft, todos sofreram violações em seus produtos ou em suas redes corporativas recentemente. Violações acontecem.
10. HaveIBeenPwned. com O CyberHoot relata que 11.9 bilhões de contas públicas estão expostas online. Estima-se que de 5 a 15 vezes mais contas estejam expostas na dark web.
11. Até mesmo empresas de segurança como Negro de Carbono e RSA tiveram suas redes violadas e IPs roubados no passado. Não é uma questão de se, mas de quando. 

Considerando que violações podem acontecer em qualquer empresa, incluindo aquelas focadas em segurança, o que você deve procurar nas empresas cujos softwares você compra?

A CyberHoot acredita que você deve considerar o nível de transparência de cada empresa ao enfrentar uma situação de violação de dados. A LastPass, por sua vez, tem sido bastante transparente em relação a questões de segurança, tanto neste caso quanto no passado.

Devo parar de usar o LastPass?

Não. A CyberHoot não vê nenhum motivo para parar de usar o LastPass no momento. Continuaremos monitorando e reportando esta situação conforme ela se desenvolve.

Recomendações da CyberHoot em vista da violação do LastPass:​

O mesmo conselho que sempre demos se aplica às suas empresas. Parece um tropismo dizer isso, mas agora, mais do que nunca, você precisa levar a segurança cibernética a sério em suas organizações e adotar as práticas abaixo. 

1. Sempre habilite o MFA para acessar qualquer gerenciador de senhas, incluindo o LastPass.
2. Comunique esse incidente e seu apoio contínuo ao uso de um Gerenciador de Senhas aos seus usuários.
3. ​Treine seus funcionários sobre MFA, ataques de phishing, higiene de senhas, ransomware e muito mais. Promova treinamentos regulares (mensais).
4. Controle seus funcionários com políticas de governança de segurança cibernética, incluindo uma Política de Senhas.
5. Crie uma estrutura de gerenciamento de riscos na sua empresa para avaliar situações como essa e gerenciar e mitigar riscos para o seu negócio.
6. Considere contratar um vCISO para ajudar você a desenvolver seu programa de segurança cibernética e resiliência a riscos.

Ao seguir essas práticas recomendadas de segurança cibernética, você pode reduzir significativamente os riscos para sua PME ou MSP.

Leituras e recursos adicionais:

Artigo de 23 de dezembro da Naked Security sobre a violação do LastPass

Artigo de discussão do Naked Security sobre a violação do LastPass

Blog do LastPass descrevendo a violação e sua resposta