LastPass komt met een melding dat het bedrijf getroffen is door een datalek. Een hacker slaagde erin om delen van de ontwikkelaarsomgeving te infiltreren en “een aantal technische gegevens” buit te maken. Er zijn geen aanwijzingen dat er klantgegevens of wachtwoorden zijn buitgemaakt.
Gehackt ontwikkelaarsaccount
Het voorval deed zich twee weken geleden voor. LastPass zag toen “ongebruikelijke activiteiten” binnen delen van de ontwikkelaarsomgeving. De ontwikkelaar van de password manager kwam daarop direct in actie. IT-medewerkers constateerden dat een onbevoegde partij toegang had weten te verschaffen tot de interne systemen van het bedrijf via een gecompromitteerde ontwikkelaarsaccount.
Daarbij heeft hij delen van de broncode en “een aantal technische gegevens” van LastPass gekopieerd. Toubba zegt dat alle producten en diensten van LastPass normaal werken. Verder vertelt de topman dat er geen aanwijzingen zijn dat de dader toegang had tot klantgegevens of versleutelde wachtwoordkluizen.
Volgens de CEO is alles onder controle en zijn er aanvullende beveiligingsmaatregelen genomen om andere hackers buiten de deur te houden. Het onderzoek naar de toedracht van de datadiefstal is nog in volle gang. LastPass heeft daarbij de hulp ingeroepen van een niet-nader genoemd cybersecuritybedrijf dat forensisch onderzoek verricht. Er zijn geen signalen van andere ongeautoriseerde activiteiten door de dader of daders.
LastPass legt in een FAQ uit dat er geen hoofd- of kluiswachtwoorden zijn bemachtigd door de aanvaller. Het bedrijf zegt dat het deze toegangscodes niet bewaard. “We maken gebruik van een industriestandaard genaamd Zero Knowledge architectuur die ervoor zorgt dat LastPass nooit kan weten of toegang kan krijgen tot het hoofdwachtwoord van onze klanten”, zo legt LastPass uit.
Toubba benadrukt dat het incident zich beperkt tot de LastPass-ontwikkelaarsomgeving. “Ons onderzoek heeft geen bewijs opgeleverd van ongeoorloofde toegang tot versleutelde kluisgegevens. Ons Zero Knowledge model garandeert dat alleen de klant toegang heeft tot het decoderen van kluisgegevens”, aldus de algemeen directeur.
Advies LastPass
Tot slot laat LastPass weten dat er voor klanten geen aanleiding is actie te ondernemen. Het is dus niet nodig om het kluiswachtwoord of andere wachtwoorden van online accounts aan te passen. Vanzelfsprekend adviseert het bedrijf om een sterk hoofdwachtwoord te kiezen: het kraken van de digitale kluis is daardoor een stuk lastiger. LastPass raadt aan om je kluiswachtwoord ten minste 12 karakters lang te maken, hoofd- en kleine letters en symbolen door elkaar te gebruiken en geen persoonlijke informatie in het hoofdwachtwoord te vermelden (zoals een geboortedatum of woonadres).
Veelgestelde vragen over het incident
Reactie LastPasas
1. Is mijn hoofdwachtwoord gehackt/gestolen?
Nee. Dit incident heeft uw hoofdwachtwoord niet in gevaar gebracht. We slaan uw hoofdwachtwoord nooit op of hebben er kennis van. We maken gebruik van een industriestandaard Zero Knowledge-architectuur die ervoor zorgt dat LastPass nooit kan weten of toegang kan krijgen tot het hoofdwachtwoord van onze klanten. U kunt hier lezen over de technische implementatie van Zero Knowledge.
2. Zijn er gegevens in mijn kluis gehackt/gestolen?
Nee. Dit incident deed zich voor in onze ontwikkelomgeving. Ons onderzoek heeft geen bewijs aangetoond van ongeoorloofde toegang tot versleutelde kluisgegevens. Ons zero knowledge model zorgt ervoor dat alleen de klant toegang heeft tot het decoderen van kluisgegevens.
3. Zijn er persoonlijke klantgegevens gestolen?
Nee. Ons onderzoek heeft geen bewijs opgeleverd van ongeoorloofde toegang tot klantgegevens in onze productieomgeving.
4. Wat moet ik doen om mezelf en mijn kluisgegevens te beschermen?
Op dit moment raden we geen actie aan namens onze gebruikers of beheerders. Zoals altijd raden we u aan onze best practices te volgen met betrekking tot het instellen en configureren van LastPass, die u hier kunt vinden.
5. Hoe kan ik meer informatie krijgen?
We zullen onze klanten blijven updaten met de nodige informatie.
Wat is LastPass?
LastPass is een van de grootste 'wachtwoord beheer bedrijven' ter wereld en beweert te worden gebruikt door meer dan 33 miljoen mensen en 100.000 bedrijven.
Omdat consumenten en bedrijven de software gebruiken om wachtwoorden veilig op te slaan zijn er ook altijd zorgen als het bedrijf zou worden gehackt de opgeslagen gegevens en wachtwoorden in handen zouden komen van cybercriminelen.
LastPass slaat wachtwoorden echter op in 'gecodeerde kluizen' die alleen kunnen worden gedecodeerd met behulp van het hoofdwachtwoord van de klant, waarvan LastPass zegt dat het niet is gehackt bij deze cyberaanval.
Vorig jaar kreeg LastPass te maken met een credential stuffing-aanval waarmee cybercriminelen het hoofdwachtwoord van een gebruiker konden bemachtigen. Er werd ook onthuld dat LastPass-hoofdwachtwoorden zijn gestolen door cybercriminelen die de 'RedLine password-stealing malware' verspreiden.
Daarom is het van vitaal belang om multifactorauthenticatie in te schakelen op uw LastPass-accounts, zodat cybercriminelen geen toegang hebben tot uw account, zelfs als uw wachtwoord is gehackt.
Bron: anoniem, therecord.media, lastpass.com, vpngids.nl
Meer info over hacking en datalekken
Meer hacking nieuws
Hackers zetten "achterdeurtje" open bij 'nieuwe update' van monitor en beheer software
Hackers zijn erin geslaagd om officiële software-updates van it-beheersoftware 'SolarWinds' van een backdoor te voorzien en zo overheden en bedrijven wereldwijd aan te vallen. Dat hebben SolarWinds, Microsoft, securitybedrijf FireEye en het Amerikaans CISA bekendgemaakt. De aanvallers wisten op deze manier ook bij FireEye binnen te dingen.
Geen Zero-Day Exploits of onbekende technieken gestolen bij 'FireEye'
Een zeer geavanceerde door de staat gesponsorde hacker(s) heeft 'FireEye Red Team-tools' gestolen.
Met een investering van €170,- een Tesla Model X stelen ter waarde van €89.000,-
Onderzoekers van COSIC, een onderzoeksgroep van KU Leuven en imec, hebben ernstige beveiligingsproblemen ontdekt in de draadloze autosleutel van de 'Tesla Model X'.
De gevaren van IoT zichtbaar in Rotterdam
Tot dinsdagmiddag was het voor iedereen mogelijk om de kleuren van de Erasmusbrug aan te passen via zijn tablet, smartphone of laptop. Door een gat in de beveiliging was het mogelijk om zonder gebruikersnaam en wachtwoord in te loggen op het systeem dat de lichtkleuren regelt. De gemeente Rotterdam heeft het bedieningssysteem uitgeschakeld en contact opgenomen met de leverancier van het systeem om herhaling te voorkomen.
Tweede Kamerverkiezingen 2021 met behulp van "niet" hackbaar OSV systeem?
De Kiesraad kiest eieren voor zijn geld. Bij de volgende Tweede Kamerverkiezingen, die in maart 2021 plaatsvinden, gaat ze extra controles uitvoeren om de uitslagen vast te stellen. De 'Ondersteunende Software Verkiezingen' (OSV) is hiervoor ontwikkeld en veilig bevonden, maar de Stichting 'Tegen Hackbare Verkiezingen' waarschuwt voor fraude en manipulat
Berichten lezen voordat ze versleuteld werden
Politie en justitie slaagden er eerder dit jaar in om EncroChat te kraken. Daarbij maakten de opsporingsdiensten meer dan 20 miljoen berichten waarin criminele activiteiten uit de doeken worden gedaan buit. Nu blijkt dat de politie begin 2019 al infiltreerde in de beveiligde chatdienst. Daarbij wist de handhavingsinstantie de hand te leggen op foto’s, notities en financiële gegevens van de chatdienst.