LastPass diretas, tetapi dikatakan tidak ada data pengguna

Pada bulan Agustus, LastPass telah mengakui bahwa “pihak yang tidak berwenang” masuk ke dalam sistemnya. Berita apa pun tentang pengelola kata sandi yang diretas dapat mengkhawatirkan, tetapi perusahaan sekarang meyakinkan penggunanya bahwa login mereka dan informasi lainnya tidak dikompromikan dalam acara tersebut.

Dalam pembaruan terbarunya tentang insiden itu, CEO LastPass Karim Toubba mengatakan bahwa penyelidikan perusahaan dengan perusahaan keamanan siber Mandiant telah mengungkapkan bahwa aktor jahat itu memiliki akses internal ke sistemnya selama empat hari. Mereka mampu mencuri beberapa kode sumber dan informasi teknis pengelola kata sandi, tetapi akses mereka terbatas pada lingkungan pengembangan layanan yang tidak terhubung ke data pelanggan dan brankas terenkripsi. Lebih lanjut, Toubba menunjukkan bahwa LastPass tidak memiliki akses ke kata sandi utama pengguna, yang diperlukan untuk mendekripsi brankas mereka.

CEO mengatakan tidak ada bukti bahwa insiden ini “melibatkan akses ke data pelanggan atau brankas kata sandi terenkripsi.” Mereka juga tidak menemukan bukti akses tidak sah di luar empat hari itu dan jejak apa pun yang disuntikkan peretas ke sistem dengan kode berbahaya. Toubba menjelaskan bahwa aktor jahat dapat menyusup ke sistem layanan dengan membahayakan titik akhir pengembang. Peretas kemudian menyamar sebagai pengembang “setelah pengembang berhasil mengautentikasi menggunakan otentikasi multi-faktor.”

Kembali pada tahun 2015, LastPass mengalami pelanggaran keamanan yang membahayakan alamat email pengguna, hash otentikasi, pengingat kata sandi, dan informasi lainnya. Pelanggaran serupa akan lebih menghancurkan hari ini, karena layanan tersebut seharusnya memiliki lebih dari 33 juta pelanggan terdaftar. Sementara, LastPass tidak meminta pengguna melakukan apa pun untuk menjaga keamanan data mereka kali ini, itu selalu praktik yang baik untuk tidak menggunakan kembali kata sandi dan mengaktifkan otentikasi multi-faktor.