Narušenie firemnej siete LastPass – čo by ste mali vedieť

Aktualizácia z pondelka 29. augusta : CyberHoot nie je jediný, kto varuje pred vyliatím dieťaťa s vodou z kúpeľa pri reakcii na narušenie bezpečnosti spoločnosti spravujúcej heslá LastPass. Tu je ďalší vynikajúci článok od našich priateľov z Naked Security (ďalší skvelý zdroj informácií a analýz o kybernetickej bezpečnosti) o tomto narušení bezpečnosti. Naďalej neochvejne podporujú prijatie Password Manageru. Dokonca majú aj odpovede na najčastejšie kladené otázky po tomto narušení bezpečnosti LastPass.

25. augusta 2022 spoločnosť LastPass nahlásila používateľom svojho riešenia na správu hesiel narušenie svojej firemnej siete. Uviedli, že neboli ukradnuté žiadne používateľské údaje, ale zdrojový kód áno. Keďže CyberHoot odporúča používať správcu hesiel, poskytujeme tieto body na diskusiu našim klientom a používateľom. 

Fakty a body na diskusiu o porušení LastPass

1. Produkt LastPass nebol napadnutý, ale skôr ich firemná sieť. Neboli ukradnuté žiadne údaje o klientoch.
2. Žiaden softvér, aký bol kedy napísaný, nie je dokonalý, vrátane LastPassu, Excelu alebo akéhokoľvek iného správcu hesiel. Kompromisy sa môžu a budú diať.
3. Štúdie a história ukázali, že spoločnosti, ktoré nezavádzajú správcu hesiel, majú viac narušení bezpečnosti ako spoločnosti, ktoré ho používajú (kvôli opätovnému použitiu hesla). (Zdroj: Správa o úniku údajov spoločnosti Verizon)
4. Zažiť narušenie bezpečnosti je v LastPass určite zlá vec, ale ich transparentnosť v tejto veci je dobrá vec.
5. LastPass bol nezávisle overený, že dodržiava osvedčené postupy pre šifrovanie vašich údajov a soľovanie a hašovanie vášho hlavného hesla.
6. Bezpečnostní experti skontrolovali a overili, že LastPass nemá prístup k vašim šifrovaným údajom, hlavným heslám a ani by takýto prístup nemohol získať.
7. Spoločnosť CyberHoot si stojí za odporúčaním bezpečnostného priemyslu prijať správcu hesiel pre lepšiu bezpečnosť, ktorú poskytuje zamestnancom.
8. LastPass má a program odmeny za chybu povzbudiť white-hat hackerov, aby zodpovedne nahlasovali bezpečnostné problémy vo svojich produktoch. To je veľmi dobrá vec.
9. Slnečné vetry, Cisco, Microsoft, všetci nedávno zaznamenali narušenia vo svojich produktoch alebo firemnej sieti. Narušenia sa stávajú.
10. HaveIBeenPwned.com hlási 11.9 miliardy verejných účtov odhalených online. CyberHoot odhaduje, že na dark webe je odhalených 5 až 15-krát viac účtov.
11. Dokonca aj bezpečnostné spoločnosti ako Karbónová čiernaa RSA v minulosti došlo k narušeniu ich sietí a krádeži IP adresy. Nie je otázkou či, ale kedy. 

Vzhľadom na to, že k narušeniam bezpečnosti dochádza v každej spoločnosti vrátane spoločností zameraných na bezpečnosť, na čo by ste sa mali zamerať v spoločnostiach, ktorých softvér kupujete?

Spoločnosť CyberHoot verí, že by ste mali zvážiť, aká transparentná bude každá spoločnosť v prípade narušenia bezpečnosti. Spoločnosť LastPass, ktorá je v minulosti aj teraz veľmi transparentná, bola v otázke bezpečnosti veľmi transparentná.

Mám prestať používať LastPass?

Nie. CyberHoot momentálne nevidí žiadny dôvod na prestať používať LastPass. Budeme túto situáciu naďalej monitorovať a informovať o jej vývoji.

Odporúčania CyberHoot vzhľadom na únik dát z LastPassu:​

Rovnaká rada, akú sme vždy dávali, platí aj pre vaše spoločnosti. Zdá sa to ako tropizmus, ale teraz, viac ako kedykoľvek predtým, musíte brať kybernetickú bezpečnosť vo svojich organizáciách vážne a prijať nižšie uvedené postupy. 

1. Vždy povoľte MFA prístup k akémukoľvek Správcovi hesiel vrátane LastPass.
2. Oznámte tento incident a svoju ďalšiu podporu používania Správcu hesiel svojim používateľom.
3. Školte svojich zamestnancov v oblasti viacfaktorovej autentifikácie (MFA), phishingových útokov, hygieny hesiel, ransomvéru a ďalších oblastí. Školenia by mali byť pravidelné (mesačne).
4. Riaďte svojich zamestnancov pomocou politík riadenia kybernetickej bezpečnosti vrátane politiky hesiel.
5. Vytvorte vo svojej spoločnosti rámec riadenia rizík na posúdenie takýchto situácií a riadenie a zmierňovanie rizík pre vaše podnikanie.
6. Zvážte najatie vCISO, ktorý vám pomôže s vybudovaním vášho programu kybernetickej bezpečnosti a odolnosti voči rizikám.

Dodržiavaním týchto osvedčených postupov v oblasti kybernetickej bezpečnosti môžete výrazne znížiť riziko pre vašu malú alebo strednú podnikovú spoločnosť alebo poskytovateľa spravovaných služieb (MSP).

Ďalšie čítanie a zdroje:

Článok Naked Security z 23. decembra o narušení LastPassu

Diskusný článok Naked Security o narušení LastPass

Blog LastPassu s popisom úniku a ich reakcie