След изтичането на данни, което се случи преди няколко месеца, мениджърът на пароли LastPass разкрива, че хакерът може да е получил достъп до чувствителна информация за клиентите. Затова трябва да се вземат някои предпазни мерки за хората, които биха съхранили „начални фрази“ на криптовалутни портфейли чрез тази услуга.
Мениджърът на пароли LastPass е хакнат
В четвъртък екипите на мениджъра на пароли LastPass съобщиха, че хакер е получил достъп до чувствителни данни, компрометирани при изтичане на информация на 25 август:
„Въз основа на досегашното ни разследване научихме, че неизвестен злонамерен участник е осъществил достъп до среда за съхранение в облак, като е използвал информация, получена от инцидента, който вече разкрихме през август 2022 г.“
Манипулаторът на пароли позволява, както подсказва името, да съхранявате всички пароли и лесно да генерирате нови, изключително сигурни пароли. Хакнатата база данни на LastPass съдържа личната информация на клиентите, съхранявана в сейфа им. Тъй като сейфът може да съдържа всякакви данни, като например документи за самоличност или частни ключове за портфейли с криптовалута, тези данни вече подлежат на изтичане.
Тъй като сейфовете са защитени с пароли, които не се съхраняват от LastPass, компанията твърди, че съдържащите се в тях данни все още са защитени, стига паролата да не бъде намерена.
Един от инвеститорите обаче смята, че LastPass не е успял да разкрие пълния обхват на ситуацията, тъй като четири от неговите вторични портфейли, чиято начална фраза е съхранил в приложението, са били изпразнени:
Мисля, че ситуацията в @LastPass може би е по-лоша, отколкото те дават да се разбере.
В неделя, 18-ти, четири от моите портфейли бяха компрометирани. Загубите не са значителни.
Семената им се пазят криптирани в трезора ми lastpass, зад 16-символна парола, използваща всички видове символи.
– path.eth 🛡️ (@Cryptopathic) December 23, 2022
Въпреки че жертвата успокоява, че загубите не са значителни, той настоява, че паролата за сейфа му не е била използвана никъде другаде и че нейната сложност изключва възможността за разбиване чрез „атака с груба сила“.
Какво да направите, ако използвате LastPass
Предвид чувствителните данни, които може да са скрити зад всички тези пароли, не трябва да се доверявате само на публичната комуникация на LastPass.
Ако сте съхранявали начални фрази от крипто портфейли в тази услуга, би било разумно да прехвърлите всички тези средства на друг адрес с частен ключ като предпазна мярка.
Промяната на главната парола за достъп до хранилището няма да е достатъчна, тъй като текущата парола ще остане същата в откраднатата база данни и хакерът(ите) все още ще има достъп до информацията, съхранена в нея.
Ето защо би било разумно да смените мениджъра си за пароли, но преди всичко да нулирате паролите на всички акаунти, които се считат за „чувствителни“. За двуфакторните удостоверявания (2FA), хоствани в приложението, те също трябва да бъдат нулирани, за да се използва друга услуга.
Въпреки че това изтичане на данни е много по-сериозно, отколкото твърди LastPass, трябва да се има предвид, че всички кредитни карти или документи за самоличност, които са били съхранявани в тези сейфове, също могат да бъдат изложени на риск.
