LastPass dataintrång (händelsetidslinje och viktiga lektioner)
I augusti 2022 drabbades LastPass av ett dataintrång med eskalerande inverkan, vilket i slutändan resulterade i en massanvändarflykt mot alternativa lösenordshanterarlösningar.
Det här inlägget ger en översikt över tidslinjen för händelserna under LastPass-cyberattacken och viktiga lärdomar som hjälper dig att undvika att drabbas av ett liknande öde.
Lär dig hur UpGuard effektiviserar > för hantering av leverantörsrisker
Tidslinje för händelser under dataintrånget LastPass (2022-2023)
För att så effektivt som möjligt dra kritiska lärdomar från denna LastPass cybersäkerhetsincident, hjälper det att förstå hela sammanhanget för LastPass svarsinsatser, som beskrivs i tidslinjen för viktiga händelser nedan
25 augusti 2022
Händelse: Obehörig åtkomst har identifierats
LastPass VD Karim Toubba publicerar ett meddelande som informerar användarna om att ovanlig och misstänkt aktivitet upptäcktes i LastPass utvecklingsmiljö.
- Karim Toubba (VD för LastPass)
Den 15 september 2022
Händelse: LastPass hävdar att ingen kund- eller lösenordsinformation har äventyrats.
Med hjälp av cybersäkerhetsföretaget Mandiant slutför LastPass en utredning av säkerhetsincidenten. Resultaten avslöjade att hotaktören bara hade tillgång till företagets utvecklingsmiljö i totalt fyra dagar, och under den tiden hittades inga bevis för att kundinformation eller lösenord hade komprometterats.
- Karim Toubba (VD för LastPass)
Den 30 november 2022
Händelse: Ovanlig aktivitet hos tredjepartsleverantör har identifierats
Hackare, som använder uppgifter som stals under incidenten i augusti, får tillgång till LastPass tredjeparts molnlagringstjänst som används för att arkivera säkerhetskopior av produktionsdata. Detta ledde till att vissa aspekter av Lastpass kundinformation äventyrades.
- Karim Toubba (VD för LastPass)
Den 22 december 2022
Händelse: Ovanlig aktivitet hos tredjepartsleverantör har identifierats
LastPass upptäcker att hotaktören, medan han befann sig i den molnbaserade lagringsmiljön från tredje part, komprometterade grundläggande LastPass kundkontoinformation och en säkerhetskopia av kundvalvsdata, som inkluderade okrypterad data. Med andra ord hade hackarna tillgång till kundernas lösenordsvalv, men utan huvudlösenorden hade de inte möjlighet att öppna dem.
Detta tog dock inte bort potentialen för att få åtkomst. Om LastPass-användare påverkats i tidigare dataintrång kunde hackare ha försökt använda sina komprometterade lösenord som köpts på dark web; eller andra brute force-strategier.
- Karim Toubba (VD för LastPass)
Den 1 mars 2023
Händelse: Hotaktören får åtkomst till icke-produktionsutvecklings- och lagringsmiljöer för säkerhetskopiering.
Ytterligare kritiska händelser tillkännages, märkta som "Incident 2. LastPass avslöjar att cyberbrottslingarna fick tillgång till en senior DevOps-ingenjörs hemdator genom att utnyttja en säkerhetssårbarhet i deras medieprogrampaket från tredje part (som misstänks vara Plex mediaprogramvara). Den här anställde var måltavla eftersom de hade tillgång till dekrypteringsnycklar som behövdes för att komma åt valven för komprometterade LastPass-konton (som nämndes i den tidigare uppdateringen).
Väl inne i DevOp-ingenjörens dator använde hackare keylogger-skadlig kod för att fånga användarens huvudlösenord när det skrevs efter att de autentiserat sig med multifaktorautentisering (MFA). Stölden av detta huvudlösenord gjorde det sedan möjligt för hackarna att komma åt den anställdes företagsvalv.
Enligt LastPass har följande känsliga datakategorier nåtts i varje incident.
Detta åstadkoms genom att rikta in sig på DevOps-ingenjörens hemdator och utnyttja ett sårbart medieprogrampaket från tredje part, vilket möjliggjorde fjärrexekvering av kod och gjorde det möjligt för hotaktören att implantera keylogger-malware. Hotaktören kunde fånga den anställdes huvudlösenord när det angavs, efter att den anställde autentiserats med MFA och fått tillgång till DevOps-ingenjörens LastPass-företagsvalv.
- Karim Toubba (VD för LastPass)
Data som användes vid den första incidenten:
- Lagringsplatser för molnbaserad utveckling på begäran och källkod
- Interna skript från lagringsplatserna
- Intern dokumentation
Data som användes i den andra incidenten:
- DevOps-hemligheter
- Molnbaserad lagring av säkerhetskopior
- Säkerhetskopiering av LastPass MFA/federationsdatabas
Kompromissen med LastPass säkerhetskopior gjorde det möjligt för hotaktörerna att komma åt ett brett utbud av känslig kundinformation, inklusive engångslösenord för återställning.
Se den fullständiga listan över komprometterade LastPass-data >
4 viktiga lärdomar från LastPass-intrånget
Följande viktiga lärdomar kan dras av denna LastPass säkerhetsincident.
1. Segmentera ditt nätverk
Ett av LastPass få lovvärda svar var dess försök att mildra effekterna genom att vidta åtgärder för att begränsa spridningen. Det är mycket lättare att isolera aktiva cyberhot inom ramen för ett segmenterat nätverk. Nätverkssegmentering är också en effektiv metod för att störa arbetsflödena för sofistikerade cyberattacker, som nätfiske och ransomware-attacker.
>Lär dig hur du skyddar dig mot attacker med utpressningstrojaner >
2. Var helt transparent med berörda användare
LastPass främsta brist var inte att dess primära säkerhetskontroller misslyckades med att förhindra ett dataintrång (även om en sådan cybersäkerhetsförmåga förväntas av en lösenordshanterare); Det var dess vaga och utdragna metod för att varna drabbade kunder. Totalt publicerade LastPass fem olika uppdateringar om sin säkerhetsincident, och varje gång kändes det som att LastPass misslyckades med att vara helt rakt på sak om incidentens grad av påverkan - vilket framgår av att LastPass dolde de inflammatoriska detaljerna om hur de anställdas företagsvalv äventyrades i ett separat dokument med "Ytterligare detaljer".
Om det finns en viktig lärdom att dra av detta dataintrång och alla andra stora intrång är det detta - ta ansvar för dina misstag. Att vara helt uppriktig om de cybersäkerhetsmisstag som resulterade i ett intrång kanske inte förhindrar ryktesspridning, men det kan avsevärt minska den tid det tar att återhämta sig från det.
För ett annat exempel på PR-insatser som inte bör följas, läs om hur Optus reagerade på sitt stora dataintrång.
3. Implementera en policy för starka lösenord
Se till att din lösenordspolicy strikt förbjuder dåliga vanor som återanvändning av lösenord. Eftersom så många dataintrång redan har inträffat är chansen stor att några av dina lösenord redan har äventyrats och finns tillgängliga på den mörka webben.
När cyberbrottslingarna komprometterade säkerhetskopierade kundvalvsdata (tillkännagavs den 22 december 2022) kunde de ha fått tillgång till sina valv om offren hade komprometterats i tidigare intrång och övat på lösenordsåtervinning.
4. Implementera starka säkerhetspolicyer för fjärrenheter
Den högsta graden av skada under denna händelse inträffade efter att en LastPass DevOps-ingenjörs bärbara dator äventyrades, vilket bara hände för att enheten exponerades genom en sårbarhet i ett medieprogrampaket från tredje part (som spekuleras vara Plex). Om detta mediepaket från tredje part var Plex använde den anställde sin arbetsdator för personlig underhållning.
Din säkerhetspolicy för WFH-enheter bör avgränsa den tillåtna användningen av företagets bärbara datorer och andra slutpunkter som anförtros fjärranställda. Som ett minimum bör dessa principer förbjuda installation av personliga program utan uttryckligt godkännande från säkerhetsteam.
Även till synes oskyldiga handlingar, som att få tillgång till appar för sociala medier som Linkedin eller webbappar som Amazon, ökar din yta för nätfiskeattacker och bör därför också tas upp i värdepapperspolicyer.
UpGuard hjälper företag att upptäcka och stänga av säkerhetsrisker innan cyberbrottslingar utnyttjar dem. Genom att kombinera hantering av attackytor med funktioner för leverantörsriskhantering ger UpGuard det mest omfattande skyddet mot interna säkerhetsrisker och säkerhetsrisker från tredje part.
Titta på den här videon för en snabb rundtur på UpGuard-plattformen.