LastPass Corporate Network Breach – Ang Dapat Mong Malaman

Update sa Lunes, Agosto 29 : Hindi lang ang CyberHoot ang nagbabala tungkol sa pagtapon ng Baby out kasama ang Bath Water kapag tumutugon sa paglabag sa LastPass password management company. Narito ang isa pang mahusay na artikulo mula sa aming mga kaibigan sa Naked Security (isa pang magandang mapagkukunan ng impormasyon at pagsusuri sa cybersecurity) tungkol sa paglabag na ito. Nanatili silang matatag sa pagsuporta sa Password Manager Adoption. Mayroon pa nga silang mga sagot sa mga pinakakaraniwang tanong kasunod ng paglabag na ito sa LastPass.

Agosto 25, 2022, nag-ulat ang LastPass ng paglabag sa corporate network nito sa mga user ng solusyon sa pamamahala ng password nito. Sinabi nila na walang data ng gumagamit ang ninakaw, ngunit ang source code ay. Dahil inirerekomenda ng CyberHoot ang paggamit ng tagapamahala ng password, ibinibigay namin ang mga puntong ito sa pakikipag-usap sa aming mga kliyente at user. 

LastPass Breach Facts at Talking Points

1. Ang produkto ng LastPass ay hindi nilabag, sa halip ay ang kanilang corporate network. Walang anumang uri ng data ng kliyente ang ninakaw.
2. Walang software na naisulat na perpekto, kabilang ang LastPass, Excel, o anumang iba pang tagapamahala ng password. Ang mga kompromiso ay maaaring at mangyayari.
3. Ipinakita ng mga pag-aaral at kasaysayan na ang mga kumpanyang hindi gumagamit ng tagapamahala ng password ay may mas maraming paglabag kaysa sa mga kumpanyang gumagawa nito (dahil sa muling paggamit ng password). (Pinagmulan: Ulat ng Paglabag sa Data ng Verizon)
4. Ang pagkakaroon ng nakaranas ng isang paglabag ay talagang isang masamang bagay na mangyayari sa LastPass ngunit ang kanilang transparency tungkol dito ay isang magandang bagay.
5. Ang LastPass ay independyenteng na-verify na sumusunod sa pinakamahuhusay na kagawian para sa pag-encrypt ng iyong data at pag-asal at pag-hash ng iyong master password.
6. Sinuri at na-verify ng mga eksperto sa seguridad ang LastPass ay walang access sa iyong naka-encrypt na data, master password, at hindi rin sila makakakuha ng ganoong access.
7. Ang CyberHoot ay naninindigan sa rekomendasyon ng industriya ng seguridad na magpatibay ng isang tagapamahala ng password para sa pinahusay na seguridad na ibinibigay nito sa mga empleyado.
8. Ang LastPass ay mayroong programa ng bug ng bug upang hikayatin ang mga white-hat hacker na mag-ulat ng mga isyu sa seguridad nang responsable sa kanilang mga produkto. Ito ay isang napakagandang bagay.
9. solarwinds, Cisco, microsoft, lahat ay nagkaroon ng mga paglabag sa kanilang mga produkto o kanilang corporate network kamakailan. Nangyayari ang mga paglabag.
10. HaveIBeenPwned.com nag-uulat ng 11.9 Bilyong pampublikong account na nalantad online. Tinatantya ng CyberHoot na 5 hanggang 15x pang mga account ang nalantad sa dark web.
11. Kahit na ang mga kompanya ng seguridad ay gusto Carbon Black, at RSA nasira ang kanilang mga network at ninakaw ang IP sa nakaraan. Hindi ito tanong ng kung ngunit kailan. 

Dahil magkakaroon ng mga paglabag sa anumang kumpanya, kabilang ang mga kumpanyang nakatuon sa seguridad, ano ang dapat mong hanapin sa mga kumpanyang binibili mo ang software?

Naniniwala ang CyberHoot na dapat mong isaalang-alang kung gaano magiging transparent ang bawat kumpanya kapag nahaharap sa isang sitwasyon ng paglabag. Ang LastPass, sa kanilang kredito, ay naging napaka-transparent tungkol sa mga isyu sa seguridad dito at noon.

Dapat ko bang ihinto ang paggamit ng LastPass?

Hindi. Walang nakikitang anumang dahilan ang CyberHoot sa kasalukuyan upang ihinto ang paggamit ng LastPass. Patuloy naming susubaybayan at iuulat ang sitwasyong ito habang umuunlad ito.

Mga Rekomendasyon ng CyberHoot sa Liwanag ng LastPass Breach:​

Ang parehong payo na palagi naming ibinibigay ay naaangkop sa iyong mga kumpanya. Tila isang tropismo na sabihin ito, ngunit ngayon, higit kailanman kailangan mong maging seryoso tungkol sa cybersecurity sa iyong mga organisasyon at gamitin ang mga kagawiang ito sa ibaba. 

1. Palaging paganahin ang MFA na ma-access ang anumang Password Manager, kabilang ang LastPass.
2. Ipaalam ang insidenteng ito at ang iyong patuloy na suporta sa paggamit ng Password Manager sa iyong mga user.
3. ​Sanayin ang iyong mga empleyado sa MFA, mga pag-atake sa phishing, kalinisan ng password, ransomware, at higit pa. Gawing regular na pangyayari ang pagsasanay (buwan-buwan).
4. Pamahalaan ang iyong mga empleyado gamit ang mga patakaran sa pamamahala sa cybersecurity kabilang ang isang Patakaran sa Password.
5. Bumuo ng balangkas ng pamamahala sa peligro sa iyong kumpanya upang masuri ang mga sitwasyong tulad nito, at pamahalaan at pagaanin ang mga panganib sa iyong negosyo.
6. Pag-isipang kumuha ng vCISO para tulungan ka sa pagbuo ng iyong cybersecurity program at risk resiliency.

Sa pamamagitan ng pagsunod sa mga pinakamahuhusay na kagawiang ito sa cybersecurity, maaari mong makabuluhang bawasan ang panganib sa iyong SMB o MSP.

Karagdagang Pagbasa at Mga Mapagkukunan:

Hubad na Seguridad Disyembre 23 Artikulo sa LastPass Breach

Artikulo ng Pagtalakay sa Naked Security sa LastPass Breach

LastPass Blog na binabalangkas ang paglabag at ang kanilang tugon