Уроки, которые следует извлечь из утечки данных LastPass

[sakib42]

LastPass — один из самых популярных менеджеров паролей в мире, насчитывающий более 33 миллионов зарегистрированных пользователей и более 100 000 бизнес-клиентов. После растущей серии крайне разрушительных разоблачений за последние несколько месяцев LastPass признала, что хакеры неоднократно подвергали риску ее системы и Список номеров сотовых телефонов США украли огромное количество высококонфиденциальных данных клиентов.

В этой статье мы исследуем утечку данных LastPass и рассмотрим уроки, которые можно из нее извлечь.

Хронология эскалации кризиса
Так что же произошло?
Что именно было украдено?
Кто несет ответственность и почему?
Какие уроки компании могут извлечь из инцидента?
Что я лично могу сделать, чтобы защитить себя?
Заключительные мысли
Хронология эскалации кризиса
В своих раскрытиях LastPass стремится провести различие между своей средой разработки и производственной средой, которые, по ее утверждению, физически отделены друг от друга (т.е. размещены в совершенно разных сетях серверов).

Среда разработки используется для разработки и тестирования программного обеспечения перед его запуском в производство. Никакие данные о клиентах не хранятся в среде разработки. Производственная среда содержит программное обеспечение и инфраструктуру, используемые для повседневного предоставления услуг клиентам. Данные клиентов хранятся в производственной среде.

История развернулась в трех раскрытиях LastPass:

Август 2022 г .: генеральный директор Карим Тубба опубликовал заявление.(новое окно)заявив, что «неавторизованная сторона получила доступ к частям среды разработки LastPass через одну скомпрометированную учетную запись разработчика и взяла части исходного кода и некоторую проприетарную техническую информацию LastPass». Тубба отметил, что, поскольку была скомпрометирована только среда разработки, доступ к данным клиентов не был получен. Он также заявил, что нарушение удалось локализовать.
Декабрь 2022 г .: Тубба обновил свое предыдущее заявление, объявив о втором нарушении, на этот раз в производственной среде. Во время этого инцидента злоумышленнику удалось скопировать данные хранилища клиентов.