LastPass komt met een melding dat het bedrijf getroffen is door een datalek. Een hacker slaagde erin om delen van de ontwikkelaarsomgeving te infiltreren en “een aantal technische gegevens” buit te maken. Er zijn geen aanwijzingen dat er klantgegevens of wachtwoorden zijn buitgemaakt.
Gehackt ontwikkelaarsaccount
Het voorval deed zich twee weken geleden voor. LastPass zag toen “ongebruikelijke activiteiten” binnen delen van de ontwikkelaarsomgeving. De ontwikkelaar van de password manager kwam daarop direct in actie. IT-medewerkers constateerden dat een onbevoegde partij toegang had weten te verschaffen tot de interne systemen van het bedrijf via een gecompromitteerde ontwikkelaarsaccount.
Daarbij heeft hij delen van de broncode en “een aantal technische gegevens” van LastPass gekopieerd. Toubba zegt dat alle producten en diensten van LastPass normaal werken. Verder vertelt de topman dat er geen aanwijzingen zijn dat de dader toegang had tot klantgegevens of versleutelde wachtwoordkluizen.
Volgens de CEO is alles onder controle en zijn er aanvullende beveiligingsmaatregelen genomen om andere hackers buiten de deur te houden. Het onderzoek naar de toedracht van de datadiefstal is nog in volle gang. LastPass heeft daarbij de hulp ingeroepen van een niet-nader genoemd cybersecuritybedrijf dat forensisch onderzoek verricht. Er zijn geen signalen van andere ongeautoriseerde activiteiten door de dader of daders.
LastPass legt in een FAQ uit dat er geen hoofd- of kluiswachtwoorden zijn bemachtigd door de aanvaller. Het bedrijf zegt dat het deze toegangscodes niet bewaard. “We maken gebruik van een industriestandaard genaamd Zero Knowledge architectuur die ervoor zorgt dat LastPass nooit kan weten of toegang kan krijgen tot het hoofdwachtwoord van onze klanten”, zo legt LastPass uit.
Toubba benadrukt dat het incident zich beperkt tot de LastPass-ontwikkelaarsomgeving. “Ons onderzoek heeft geen bewijs opgeleverd van ongeoorloofde toegang tot versleutelde kluisgegevens. Ons Zero Knowledge model garandeert dat alleen de klant toegang heeft tot het decoderen van kluisgegevens”, aldus de algemeen directeur.
Advies LastPass
Tot slot laat LastPass weten dat er voor klanten geen aanleiding is actie te ondernemen. Het is dus niet nodig om het kluiswachtwoord of andere wachtwoorden van online accounts aan te passen. Vanzelfsprekend adviseert het bedrijf om een sterk hoofdwachtwoord te kiezen: het kraken van de digitale kluis is daardoor een stuk lastiger. LastPass raadt aan om je kluiswachtwoord ten minste 12 karakters lang te maken, hoofd- en kleine letters en symbolen door elkaar te gebruiken en geen persoonlijke informatie in het hoofdwachtwoord te vermelden (zoals een geboortedatum of woonadres).
Veelgestelde vragen over het incident
Reactie LastPasas
1. Is mijn hoofdwachtwoord gehackt/gestolen?
Nee. Dit incident heeft uw hoofdwachtwoord niet in gevaar gebracht. We slaan uw hoofdwachtwoord nooit op of hebben er kennis van. We maken gebruik van een industriestandaard Zero Knowledge-architectuur die ervoor zorgt dat LastPass nooit kan weten of toegang kan krijgen tot het hoofdwachtwoord van onze klanten. U kunt hier lezen over de technische implementatie van Zero Knowledge.
2. Zijn er gegevens in mijn kluis gehackt/gestolen?
Nee. Dit incident deed zich voor in onze ontwikkelomgeving. Ons onderzoek heeft geen bewijs aangetoond van ongeoorloofde toegang tot versleutelde kluisgegevens. Ons zero knowledge model zorgt ervoor dat alleen de klant toegang heeft tot het decoderen van kluisgegevens.
3. Zijn er persoonlijke klantgegevens gestolen?
Nee. Ons onderzoek heeft geen bewijs opgeleverd van ongeoorloofde toegang tot klantgegevens in onze productieomgeving.
4. Wat moet ik doen om mezelf en mijn kluisgegevens te beschermen?
Op dit moment raden we geen actie aan namens onze gebruikers of beheerders. Zoals altijd raden we u aan onze best practices te volgen met betrekking tot het instellen en configureren van LastPass, die u hier kunt vinden.
5. Hoe kan ik meer informatie krijgen?
We zullen onze klanten blijven updaten met de nodige informatie.
Wat is LastPass?
LastPass is een van de grootste 'wachtwoord beheer bedrijven' ter wereld en beweert te worden gebruikt door meer dan 33 miljoen mensen en 100.000 bedrijven.
Omdat consumenten en bedrijven de software gebruiken om wachtwoorden veilig op te slaan zijn er ook altijd zorgen als het bedrijf zou worden gehackt de opgeslagen gegevens en wachtwoorden in handen zouden komen van cybercriminelen.
LastPass slaat wachtwoorden echter op in 'gecodeerde kluizen' die alleen kunnen worden gedecodeerd met behulp van het hoofdwachtwoord van de klant, waarvan LastPass zegt dat het niet is gehackt bij deze cyberaanval.
Vorig jaar kreeg LastPass te maken met een credential stuffing-aanval waarmee cybercriminelen het hoofdwachtwoord van een gebruiker konden bemachtigen. Er werd ook onthuld dat LastPass-hoofdwachtwoorden zijn gestolen door cybercriminelen die de 'RedLine password-stealing malware' verspreiden.
Daarom is het van vitaal belang om multifactorauthenticatie in te schakelen op uw LastPass-accounts, zodat cybercriminelen geen toegang hebben tot uw account, zelfs als uw wachtwoord is gehackt.
Bron: anoniem, therecord.media, lastpass.com, vpngids.nl
Meer info over hacking en datalekken
Meer hacking nieuws
Ziggo vraagt klanten nadrukkelijk het standaardwachtwoord te veranderen
Ziggo heeft klanten gewaarschuwd voor een kwetsbaarheid in de Wifibooster Ziggo C7. De provider vraagt klanten nadrukkelijk het standaardwachtwoord te veranderen als zij dat nog niet hebben gedaan.
Chinese hacker groep 'RedDelta' richt zich op het Vaticaan en katholieke organisaties
Vanaf begin mei 2020 behoorden het Vaticaan en het katholieke bisdom Hong Kong tot verschillende katholieke kerk gerelateerde organisaties die het doelwit waren van 'RedDelta'.
Ziggo's wifibooster C7 kwetsbaar voor hacking
Ziggo waarschuwt voor een kwetsbaarheid in de 'Wifibooster Ziggo C7'. "Om hacking en misbruik te voorkomen is het noodzakelijk uw wachtwoord en netwerknaam te wijzigen", aldus Ziggo in een mail naar hun klanten.
VS beschuldigt Chinese hackers die ook twee Nederlandse bedrijven hackten
Het Amerikaanse ministerie van Justitie beschuldigt twee Chinese hackers van cyberaanvallen die bedoeld zijn om bedrijfsgeheimen te ontvreemden, onder meer tegen onderzoekers die werken aan de ontwikkeling van een corona-virus-vaccin .
Twitter hacks uitgevoerd door groep internationale hackers, buitgemaakte bitcoins worden onderling verdeeld
Woensdagavond werd bekend dat tientallen Twitter-accounts van geverifieerde gebruikers zijn gehackt door kwaadwillenden met het doel om mensen op te lichten voor bitcoins.
Stel dat een hacker zonder je medeweten je e-mail kon lezen voordat het naar je werd doorgestuurd
Stel je voor wat er zou kunnen gebeuren als iemand zonder je medeweten elke e-mail van je kon onderscheppen en lezen voordat het naar je werd doorgestuurd.