Die LastPass-Datenschutzverletzung (Zeitleiste des Ereignisses und wichtige Lektionen)
Im August 2022 erlitt LastPass eine Datenschutzverletzung mit eskalierenden Auswirkungen, die schließlich zu einer Massenabwanderung der Nutzer hin zu alternativen Passwort-Manager-Lösungen führte.
Dieser Beitrag bietet einen Überblick über die Zeitleiste der Ereignisse während des LastPass-Cyberangriffs und wichtige Lektionen, die Ihnen helfen, ein ähnliches Schicksal zu vermeiden.
Erfahren Sie, wie UpGuard das Vendor Risk Management > optimiert
Zeitleiste der Ereignisse während der LastPass-Datenschutzverletzung (2022-2023)
Um am effektivsten wichtige Lehren aus diesem Cybersicherheitsvorfall von LastPass zu ziehen, ist es hilfreich, den vollständigen Kontext der Reaktionsbemühungen von Lastpass zu verstehen, der in der Zeitleiste der wichtigsten Ereignisse unten dargestellt ist
25. August 2022
Ereignis: Unbefugter Zugriff erkannt
Karim Toubba, CEO von LastPass, veröffentlicht eine Mitteilung, in der die Benutzer darüber informiert werden, dass ungewöhnliche und verdächtige Aktivitäten in der LastPass-Entwicklungsumgebung entdeckt wurden.
- Karim Toubba (CEO von LastPass)
15. September 2022
Ereignis: LastPass behauptet, dass keine Kunden- oder Passwortinformationen kompromittiert wurden.
Mit Unterstützung des Cybersicherheitsunternehmens Mandiant schließt LastPass eine Untersuchung des Sicherheitsvorfalls ab. Die Ergebnisse zeigten, dass der Bedrohungsakteur nur insgesamt vier Tage lang Zugriff auf die Entwicklungsumgebung des Unternehmens hatte und während dieser Zeit keine Hinweise auf eine Kompromittierung von Kundeninformationen oder Passwörtern gefunden wurden.
- Karim Toubba (CEO von LastPass)
30. November 2022
Ereignis: Ungewöhnliche Aktivität beim Drittanbieter erkannt
Hacker, die Details verwenden, die während des Vorfalls im August gestohlen wurden, erhalten Zugriff auf den Cloud-Speicherdienst von LastPass von Drittanbietern, der zur Archivierung von Backups von Produktionsdaten verwendet wird. Dies führte dazu, dass bestimmte Aspekte der Lastpass-Kundeninformationen kompromittiert wurden.
- Karim Toubba (CEO von LastPass)
22. Dezember 2022
Ereignis: Ungewöhnliche Aktivität beim Drittanbieter erkannt
LastPass entdeckt, dass der Bedrohungsakteur in der Cloud-basierten Speicherumgebung eines Drittanbieters grundlegende LastPass-Kundenkontoinformationen und eine Sicherung der Tresordaten der Kunden, einschließlich unverschlüsselter Daten, kompromittiert hat. Mit anderen Worten, die Hacker hatten Zugang zu den Passwort-Tresoren der Kunden, hatten aber ohne die Master-Passwörter nicht die Möglichkeit, sie zu öffnen.
Dies beseitigte jedoch nicht das Potenzial, Zugang zu erhalten. Wenn LastPass-Benutzer von früheren Datenschutzverletzungen betroffen waren, hätten Hacker versuchen können, ihre kompromittierten Passwörter zu verwenden, die sie im Dark Web gekauft haben. oder andere Brute-Force-Strategien.
- Karim Toubba (CEO von LastPass)
01. März 2023
Ereignis: Der Bedrohungsakteur greift auf nicht produktive Entwicklungs- und Backup-Speicherumgebungen zu.
Weitere kritische Entwicklungen werden angekündigt und als "Vorfall 2. " LastPass enthüllt, dass sich die Cyberkriminellen Zugang zum Heimcomputer eines leitenden DevOps-Ingenieurs verschafften, indem sie eine Sicherheitslücke in ihrem Mediensoftwarepaket eines Drittanbieters ausnutzten (vermutlich handelt es sich um Plex-Mediensoftware). Dieser Mitarbeiter wurde ins Visier genommen, weil er Zugriff auf Entschlüsselungsschlüssel hatte, die für den Zugriff auf die Tresore kompromittierter LastPass-Konten erforderlich waren (erwähnt im vorherigen Update).
Sobald sie sich im Computer des DevOp-Ingenieurs befanden, setzten Hacker Keylogger-Malware ein, um das Master-Passwort des Benutzers zu erfassen, während es eingegeben wurde, nachdem er sich mit der Multifaktor-Authentifizierung (MFA) authentifiziert hatte. Der Diebstahl dieses Master-Passworts ermöglichte es den Hackern dann, auf den Unternehmenstresor des Mitarbeiters zuzugreifen.
Laut LastPass wurde bei jedem Vorfall auf die folgenden sensiblen Datenkategorien zugegriffen.
Dies wurde erreicht, indem der Heimcomputer des DevOps-Ingenieurs ins Visier genommen und ein anfälliges Mediensoftwarepaket eines Drittanbieters ausgenutzt wurde, das die Remote-Codeausführung ermöglichte und es dem Bedrohungsakteur ermöglichte, Keylogger-Malware zu implantieren. Der Bedrohungsakteur war in der Lage, das Master-Passwort des Mitarbeiters bei der Eingabe zu erfassen, nachdem sich der Mitarbeiter mit MFA authentifiziert hatte, und erhielt Zugriff auf den LastPass-Unternehmenstresor des DevOps-Ingenieurs.
- Karim Toubba (CEO von LastPass)
Daten, auf die im ersten Incident zugegriffen wurde:
- On-Demand-, Cloud-basierte Entwicklungs- und Quellcode-Repositories
- Interne Skripte aus den Repositories
- Interne Dokumentation
Daten, auf die im zweiten Vorfall zugegriffen wurde:
- DevOps-Geheimnisse
- Cloud-basierter Backup-Speicher
- Sicherung der LastPass MFA/Federation-Datenbank
Die Kompromittierung der Backups von LastPass ermöglichte es den Bedrohungsakteuren, auf eine Vielzahl sensibler Kundeninformationen zuzugreifen, einschließlich Einmalpasswörtern für die Wiederherstellung.
Sehen Sie sich die vollständige Liste der kompromittierten LastPass-Daten an >
4 wichtige Lehren aus der LastPass-Sicherheitsverletzung
Die folgenden wichtigen Lehren lassen sich aus diesem LastPass-Sicherheitsvorfall ziehen.
1. Segmentieren Sie Ihr Netzwerk
Eine der wenigen lobenswerten Reaktionen von LastPass war der Versuch, die Auswirkungen durch den Einsatz von Eindämmungsmaßnahmen zu mildern. Es ist viel einfacher, aktive Cyberbedrohungen im Kontext eines segmentierten Netzwerks zu isolieren. Die Netzwerksegmentierung ist auch eine effektive Methode, um die Arbeitsabläufe bei ausgeklügelten Cyberangriffen wie Phishing- und Ransomware-Angriffen zu stören.
>Erfahren Sie, wie Sie sich > gegen Ransomware-Angriffe verteidigen können
2. Seien Sie gegenüber den betroffenen Benutzern völlig transparent
Der Hauptfehler von LastPass bestand nicht darin, dass seine primären Sicherheitskontrollen eine Datenschutzverletzung nicht verhindern konnten (obwohl eine solche Cybersicherheitsfunktion von einem Passwort-Manager erwartet wird); Es war die vage und langwierige Methode, betroffene Kunden zu warnen. Insgesamt veröffentlichte LastPass fünf verschiedene Updates zu seinem Sicherheitsvorfall, und jedes Mal hatte man das Gefühl, dass LastPass es versäumt hatte, das Ausmaß der Auswirkungen des Vorfalls völlig offen zu beschreiben - wie LastPass zeigte, das die aufrührerischen Details darüber, wie der Tresor seines Mitarbeiters kompromittiert wurde, in einem separaten Dokument mit "Zusätzliche Details" versteckte.
Wenn es eine wichtige Lektion gibt, die man aus dieser Datenschutzverletzung und allen anderen großen Sicherheitsverletzungen lernen kann, dann ist es diese: Übernehmen Sie die Verantwortung für Ihre Fehler. Wenn Sie die Fehler im Bereich der Cybersicherheit, die zu einer Sicherheitsverletzung geführt haben, offen offen über die Fehler im Bereich der Cybersicherheit informieren, können Sie den Reputationsschaden zwar nicht verhindern, aber die Zeit, die für die Wiederherstellung benötigt wird, erheblich verkürzen.
Ein weiteres Beispiel für PR-Bemühungen, die nicht verfolgt werden sollten, ist die Art und Weise, wie Optus auf seine große Datenschutzverletzung reagiert hat.
3. Implementieren Sie eine starke Passwortrichtlinie
Stellen Sie sicher, dass Ihre Passwortrichtlinie schlechte Gewohnheiten wie das Recycling von Passwörtern strikt verbietet. Da es bereits zu so vielen Datenschutzverletzungen gekommen ist, besteht die Möglichkeit, dass einige Ihrer Passwörter bereits kompromittiert wurden und im Dark Web verfügbar sind.
Als die Cyberkriminellen Backup-Tresordaten von Kunden kompromittierten (bekannt gegeben am 22. Dezember 2022), hätten sie sich Zugang zu ihren Tresoren verschaffen können, wenn die Opfer bei früheren Sicherheitsverletzungen kompromittiert worden wären und das Recycling von Passwörtern praktiziert hätten.
4. Implementieren Sie strenge Sicherheitsrichtlinien für Remote-Geräte
Der höchste Schaden während dieses Ereignisses trat auf, nachdem der Laptop eines LastPass DevOps Engineers kompromittiert wurde, was nur geschah, weil das Gerät durch eine Schwachstelle in einem Mediensoftwarepaket eines Drittanbieters (spekuliert über Plex) offengelegt wurde. Wenn es sich bei diesem Medienpaket eines Drittanbieters um Plex handelte, nutzte der Mitarbeiter seinen Arbeitscomputer zur persönlichen Unterhaltung.
Ihre Sicherheitsrichtlinie für WFH-Geräte sollte die zulässige Verwendung von Unternehmenslaptops und anderen Endpunkten, die Remotemitarbeitern anvertraut werden, abgrenzen. Diese Richtlinien sollten mindestens die Installation persönlicher Anwendungen ohne ausdrückliche Genehmigung der Sicherheitsteams verbieten.
Selbst scheinbar harmlose Handlungen, wie der Zugriff auf Social-Media-Apps wie Linkedin oder Web-Apps wie Amazon, vergrößern Ihre Phishing-Angriffsfläche und sollten daher auch in Wertpapierpolicen thematisiert werden.
UpGuard hilft Unternehmen, Sicherheitsrisiken zu erkennen und zu beseitigen, bevor sie von Cyberkriminellen ausgenutzt werden. Durch die Kombination von Attack Surface Management mit Vendor Risk Management-Funktionen bietet UpGuard den umfassendsten Schutz vor internen und externen Sicherheitsrisiken.
Sehen Sie sich dieses Video an, um einen kurzen Überblick über die UpGuard-Plattform zu erhalten.