LastPass Kurumsal Ağ İhlali – Bilmeniz Gerekenler

29 Ağustos Pazartesi Güncellemesi : LastPass şifre yönetim şirketi ihlaline tepki verirken "bebeği banyo suyuyla birlikte atmak" konusunda uyarıda bulunan tek kişi CyberHoot değil. İşte Naked Security'deki arkadaşlarımızdan (siber güvenlik bilgileri ve analizleri için harika bir kaynak) bu ihlal hakkında bir başka mükemmel makale. Şifre yöneticisi kullanımını kararlılıkla destekliyorlar. Hatta bu LastPass ihlalinin ardından en sık sorulan sorulara da cevapları var.

LastPass, 25 Ağustos 2022'de parola yönetim çözümünün kullanıcılarına kurumsal ağında bir ihlal olduğunu bildirdi. Kullanıcı verilerinin çalınmadığını, ancak kaynak kodunun çalındığını belirttiler. CyberHoot bir parola yöneticisi kullanılmasını önerdiğinden, bu bilgileri müşterilerimize ve kullanıcılarımıza sunuyoruz. 

LastPass İhlali Gerçekleri ve Tartışma Noktaları

1. LastPass ürünü değil, kurumsal ağları ihlal edildi. Hiçbir müşteri verisi çalınmadı.
2. LastPass, Excel veya diğer şifre yöneticileri de dahil olmak üzere, hiçbir yazılım mükemmel değildir. Tehlikeler olabilir ve olacaktır.
3. Yapılan araştırmalar ve tarih, parola yöneticisi kullanmayan şirketlerin, kullanan şirketlere göre daha fazla ihlal yaşadığını (parolaların tekrar kullanılması nedeniyle) göstermektedir. (Kaynak: Verizon Veri İhlali Raporu)
4. LastPass'ta bir ihlal yaşanması kesinlikle kötü bir şey ama bu konuda şeffaf olmaları iyi bir şey.
5. LastPass'ın verilerinizi şifrelemek ve ana parolanızı tuzlamak ve karıştırmak için en iyi uygulamaları izlediği bağımsız olarak doğrulanmıştır.
6. Güvenlik uzmanları, LastPass'ın şifrelenmiş verilerinize, ana parolalarınıza erişemediğini ve böyle bir erişim elde edemeyeceğini inceledi ve doğruladı.
7. CyberHoot, çalışanlarına sağladığı gelişmiş güvenlik için bir parola yöneticisi kullanılması yönündeki güvenlik sektörünün önerisinin arkasında duruyor.
8. LastPass'in bir hata ödül programı Beyaz şapkalı bilgisayar korsanlarını ürünlerindeki güvenlik sorunlarını sorumlu bir şekilde bildirmeye teşvik etmek. Bu çok iyi bir şey.
9. Solarwinds, Cisco, Microsoft, son zamanlarda ürünlerinde veya kurumsal ağlarında güvenlik ihlalleri yaşandı. Güvenlik ihlalleri olur.
10. HaveIBeenPwned.com 11.9 milyar kamu hesabının çevrimiçi ortamda ifşa edildiğini bildiriyor. CyberHoot, karanlık web'de 5 ila 15 kat daha fazla hesabın ifşa edildiğini tahmin ediyor.
11. Hatta güvenlik şirketleri bile Karbon Siyahı, ve RSA Geçmişte ağları ihlal edilmiş ve IP'leri çalınmıştır. Mesele ne zaman olacağı değil, olup olmayacağıdır. 

Güvenlik odaklı şirketler de dahil olmak üzere her şirkette ihlallerin meydana gelebileceği göz önüne alındığında, yazılımını satın aldığınız şirketlerde nelere dikkat etmelisiniz?

CyberHoot, bir güvenlik ihlali durumuyla karşı karşıya kaldığınızda her şirketin ne kadar şeffaf olacağını göz önünde bulundurmanız gerektiğine inanıyor. LastPass, takdire şayan bir şekilde, geçmişte ve burada güvenlik sorunları konusunda oldukça şeffaf davrandı.

LastPass'ı kullanmayı bırakmalı mıyım?

Hayır. CyberHoot, LastPass kullanımını durdurmak için şu anda herhangi bir neden görmüyor. Bu durumu gelişmeleri takip etmeye ve raporlamaya devam edeceğiz.

LastPass İhlali Işığında CyberHoot Önerileri:​

Her zaman verdiğimiz tavsiyeler şirketleriniz için de geçerli. Bunu söylemek biraz klişe gibi gelebilir, ancak şimdi, kuruluşlarınızda siber güvenlik konusunda her zamankinden daha fazla ciddiye almanız ve aşağıdaki uygulamaları benimsemeniz gerekiyor. 

1. LastPass dahil olmak üzere herhangi bir Parola Yöneticisine erişmek için her zaman MFA'yı etkinleştirin.
2. Bu olayı ve Şifre Yöneticisi kullanımına yönelik sürekli desteğinizi kullanıcılarınıza iletin.
3. Çalışanlarınıza MFA, kimlik avı saldırıları, parola güvenliği, fidye yazılımları ve daha fazlası hakkında eğitim verin. Eğitimi düzenli (aylık) hale getirin.
4. Şifre Politikası da dahil olmak üzere siber güvenlik yönetim politikalarıyla çalışanlarınızı yönetin.
5. Şirketinizde bu gibi durumları değerlendirmek, işletmenize yönelik riskleri yönetmek ve azaltmak için bir risk yönetimi çerçevesi oluşturun.
6. Siber güvenlik programınızı oluşturmanıza ve risklere karşı dayanıklılığınızı artırmanıza yardımcı olması için bir vCISO kiralamayı düşünün.

Bu siber güvenlik en iyi uygulamalarını takip ederek KOBİ'niz veya MSP'niz için riski önemli ölçüde azaltabilirsiniz.

Ek Okumalar ve Kaynaklar:

Naked Security'nin 23 Aralık tarihli LastPass İhlali Makalesi

LastPass İhlali Hakkında Çıplak Güvenlik Tartışma Makalesi

LastPass Blog'u ihlali ve verdikleri yanıtı özetliyor