8月29日星期一更新：CyberHoot并非唯一一家提醒大家不要因噎废食，在应对LastPass密码管理公司数据泄露事件时采取极端措施的机构。我们的合作伙伴Naked Security（另一个优秀的网络安全信息和分析来源）也撰写了一篇关于此次泄露事件的精彩文章。他们始终坚定地支持密码管理器的普及。他们甚至还针对LastPass泄露事件后最常被问到的问题给出了答案。
25年2022月XNUMX日，LastPass向其密码管理解决方案的用户报告了其公司网络遭到入侵。LastPass表示，用户数据没有被盗，但源代码被盗。由于CyberHoot建议采用密码管理器，我们特此向客户和用户提供以下要点。
LastPass 漏洞事实和讨论要点
- LastPass 产品并未遭到入侵，而是他们的公司网络遭到入侵。所有客户数据均未遭窃取。
- 没有任何软件是完美的，包括 LastPass、Excel 或任何其他密码管理器。漏洞随时可能发生，也必然会发生。
- 研究和历史表明，不使用密码管理器的公司比使用密码管理器的公司更容易发生数据泄露（由于密码重复使用）。（来源： Verizon数据泄露报告)
- LastPass 遭遇入侵肯定是一件坏事，但他们对此保持透明却是一件好事。
- LastPass 已通过独立验证，遵循加密数据和对主密码进行加盐和散列的最佳实践。
- 安全专家已审查并确认 LastPass 无法访问您的加密数据和主密码，也无法获得此类访问权限。
- CyberHoot 支持安全行业的建议，采用密码管理器来为员工提供增强的安全性。
- LastPass 有一个 bug赏金计划 鼓励白帽黑客负责任地报告其产品的安全问题。这是一件非常好的事情。
- SolarWinds的, 思科, Microsoft，其产品或公司网络最近都遭遇了安全漏洞。安全漏洞时有发生。
- HaveIBeenPwned.com 网站 报告称，11.9亿个公共账户被曝光在网上。CyberHoot估计，在暗网上曝光的账户数量是公共账户数量的5到15倍。
- 甚至连安全公司 炭黑和 RSA 过去曾遭遇过网络入侵和 IP 被盗。这不是是否会发生的问题，而是何时发生的问题。
鉴于任何公司（包括专注于安全的公司）都可能发生违规行为，您在购买软件的公司时应该寻找什么？
CyberHoot认为，在面临数据泄露事件时，您应该考虑每家公司会采取怎样的透明度措施。值得称赞的是，LastPass在安全问题上一直非常透明，无论是在此次事件中还是过去。
我应该停止使用 LastPass 吗？
不会。CyberHoot 目前没有理由停止使用 LastPass。我们将继续关注并报告相关情况。
CyberHoot 针对 LastPass 漏洞的建议：
我们一直以来的建议也适用于贵公司。这么说似乎有点偏颇，但现在比以往任何时候都更需要认真对待贵公司的网络安全，并采取以下做法。
- 始终启用 MFA 来访问任何密码管理器，包括 LastPass。
- 向您的用户传达此事件以及您对使用密码管理器的持续支持。
- 为您的员工提供 MFA、网络钓鱼攻击、密码安全、勒索软件等方面的培训。定期（每月）进行培训。
- 使用包括密码策略在内的网络安全治理策略来管理您的员工。
- 在您的公司建立一个风险管理框架来评估此类情况，并管理和减轻您的业务风险。
- 考虑聘请 vCISO 来协助您构建网络安全计划和风险弹性。
通过遵循这些网络安全最佳实践，您可以显著降低 SMB 或 MSP 的风险。
其他阅读材料和资源：
Naked Security 23 月 XNUMX 日关于 LastPass 漏洞的文章
关于 LastPass 漏洞的裸露安全讨论文章
LastPass 博客概述了此次违规行为及其应对措施
