Взлом корпоративной сети LastPass — что вам следует знать

Обновление от понедельника, 29 августа : CyberHoot — не единственная компания, которая предостерегает от чрезмерного оптимизма в связи с утечкой данных из компании LastPass, занимающейся управлением паролями. Вот еще одна отличная статья от наших друзей из Naked Security (еще один замечательный источник информации и анализа в области кибербезопасности) об этой утечке. Они по-прежнему твердо поддерживают внедрение менеджеров паролей. У них даже есть ответы на самые часто задаваемые вопросы после этой утечки данных из LastPass.

25 августа 2022 года компания LastPass сообщила пользователям своего решения для управления паролями о взломе своей корпоративной сети. Компания заявила, что данные пользователей не были украдены, но был украден исходный код. Поскольку CyberHoot рекомендует использовать менеджер паролей, мы предоставляем нашим клиентам и пользователям следующие тезисы. 

Факты и темы для обсуждения взлома LastPass

1. Взлому подверглась не система LastPass, а их корпоративная сеть. Никакие клиентские данные не были украдены.
2. Ни одно программное обеспечение не идеально, включая LastPass, Excel или любой другой менеджер паролей. Взломы могут и будут происходить.
3. Исследования и исторические данные показали, что компании, не использующие менеджер паролей, сталкиваются с большим количеством нарушений, чем компании, использующие его (из-за повторного использования паролей). (Источник: Отчет об утечке данных Verizon)
4. Конечно, для LastPass утечка данных — это плохо, но их прозрачность в этом вопросе — это хорошо.
5. LastPass прошел независимую проверку на соответствие лучшим практикам шифрования ваших данных, а также добавления соли и хеширования вашего главного пароля.
6. Эксперты по безопасности проверили и подтвердили, что LastPass не имеет доступа к вашим зашифрованным данным, мастер-паролям и не может получить такой доступ.
7. Компания CyberHoot поддерживает рекомендацию отрасли безопасности использовать менеджер паролей для повышения уровня безопасности своих сотрудников.
8. LastPass имеет ошибка баунти программы Поощрять «белых хакеров» ответственно сообщать о проблемах безопасности в своих продуктах. Это очень хорошо.
9. Солнечные ветры, Cisco, Microsoft, все недавно столкнулись с утечками данных в своих продуктах или корпоративной сети. Утечки случаются.
10. HaveIBeenPwned.com Сообщается о 11.9 миллиардах публичных аккаунтов, раскрытых в интернете. По оценкам CyberHoot, в даркнете раскрыто в 5–15 раз больше аккаунтов.
11. Даже такие охранные компании, как Сажа и RSA В прошлом их сети уже подвергались взлому и краже IP-адресов. Вопрос не в том, произойдет ли это, а в том, когда. 

Учитывая, что нарушения безопасности случаются в любой компании, включая компании, ориентированные на безопасность, на что следует обращать внимание при выборе компаний, у которых вы приобретаете программное обеспечение?

Компания CyberHoot считает, что следует учитывать прозрачность действий каждой компании в случае утечки данных. К чести LastPass, компания всегда отличалась высокой степенью прозрачности в вопросах безопасности, как в прошлом , так и в этой области.

Стоит ли мне прекратить использование LastPass?

Нет. CyberHoot не видит причин для прекращения использования LastPass. Мы продолжим следить за развитием ситуации и сообщать о ней по мере её развития.

Рекомендации CyberHoot в свете взлома LastPass:​

Тот же совет, который мы всегда давали, применим и к вашим компаниям. Это может показаться излишним, но сейчас, как никогда ранее, вам необходимо серьёзно отнестись к кибербезопасности в своих организациях и внедрить следующие практики. 

1. Всегда включайте MFA для доступа к любому менеджеру паролей, включая LastPass.
2. Сообщите об этом инциденте вашим пользователям и о вашей дальнейшей поддержке использования менеджера паролей.
3. Обучите своих сотрудников многофакторной аутентификации (MFA), фишинговым атакам, гигиене паролей, программам-вымогателям и т. д. Регулярно проводите обучение (ежемесячно).
4. Управляйте своими сотрудниками с помощью политик управления кибербезопасностью, включая политику паролей.
5. Создайте в своей компании систему управления рисками, чтобы оценивать подобные ситуации, а также управлять рисками для своего бизнеса и снижать их.
6. Рассмотрите возможность найма vCISO, который поможет вам создать программу кибербезопасности и устойчивости к рискам.

Следуя этим рекомендациям по кибербезопасности, вы можете значительно снизить риск для вашего малого и среднего бизнеса или управляемого поставщика услуг.

Дополнительные материалы и ресурсы:

Статья Naked Security от 23 декабря о взломе LastPass

Статья Naked Security Discussion о взломе LastPass

Блог LastPass с описанием взлома и их реакции