LastPass-databruddet (begivenhedens tidslinje og vigtige lektioner)
I august 2022 blev LastPass udsat for et databrud med eskalerende virkning, hvilket i sidste ende resulterede i en masseudvandring af brugere mod alternative adgangskodehåndteringsløsninger.
Dette indlæg giver et overblik over tidslinjen for begivenhederne under LastPass-cyberangrebet og kritiske lektioner for at hjælpe dig med at undgå at lide en lignende skæbne.
Få mere at vide om, hvordan UpGuard strømliner Vendor Risk Management >
Tidslinje for begivenheder under LastPass-databruddet (2022-2023)
For mest effektivt at drage kritiske erfaringer fra denne LastPass-cybersikkerhedshændelse hjælper det at forstå den komplette kontekst af Lastpass' responsindsats, der er skitseret i tidslinjen for nøglebegivenheder nedenfor
25. august 2022
Hændelse: Uautoriseret adgang registreret
LastPass CEO Karim Toubba offentliggør en meddelelse, der informerer brugerne om, at usædvanlig og mistænkelig aktivitet blev opdaget i LastPass-udviklingsmiljøet.
- Karim Toubba (administrerende direktør for LastPass)
Marts 15, 2022
Hændelse: LastPass hævder, at ingen kunde- eller adgangskodeoplysninger blev kompromitteret.
Med hjælp fra cybersikkerhedsfirmaet Mandiant gennemfører LastPass en undersøgelse af sikkerhedshændelsen. Resultaterne afslørede, at trusselsaktøren kun havde adgang til virksomhedens udviklingsmiljø i i alt fire dage, og i løbet af den tid blev der ikke fundet tegn på kundeoplysninger eller kompromittering af adgangskoder.
- Karim Toubba (administrerende direktør for LastPass)
30. november 2022
Hændelse: Usædvanlig aktivitet hos tredjepartsudbyder registreret
Hackere, der bruger detaljer, der blev stjålet under hændelsen i august, får adgang til LastPass' tredjeparts cloud-lagringstjeneste, der bruges til at arkivere sikkerhedskopier af produktionsdata. Dette førte til, at visse aspekter af Lastpass kundeoplysninger blev kompromitteret.
- Karim Toubba (administrerende direktør for LastPass)
22. december 2022
Hændelse: Usædvanlig aktivitet hos tredjepartsudbyder registreret
LastPass opdager, at trusselsaktøren, mens han var inde i tredjeparts cloud-baserede lagringsmiljø, kompromitterede grundlæggende LastPass-kundekontooplysninger og en sikkerhedskopi af kundeboksdata, som inkluderede ukrypterede data. Med andre ord havde hackerne adgang til kundernes adgangskodebokse, men uden hovedadgangskoderne havde de ikke midlerne til at åbne dem.
Dette fjernede dog ikke muligheden for at få adgang. Hvis LastPass-brugere blev påvirket af tidligere databrud, kunne hackere have forsøgt at bruge deres kompromitterede adgangskoder købt på det mørke web; eller andre brute force-strategier.
- Karim Toubba (administrerende direktør for LastPass)
Marts 01, 2023
Hændelse: Trusselsaktøren får adgang til ikke-produktionsudviklings- og backuplagermiljøer.
Yderligere kritiske udviklinger er annonceret, mærket som "Hændelse 2. " LastPass afslører, at de cyberkriminelle fik adgang til hjemmecomputeren hos en senior DevOps-ingeniør ved at udnytte en sikkerhedssårbarhed i deres tredjeparts mediesoftwarepakke (mistænkt for at være Plex-mediesoftware). Denne medarbejder blev ramt, fordi de havde adgang til dekrypteringsnøgler, der var nødvendige for at få adgang til boksene på kompromitterede LastPass-konti (nævnt i den tidligere opdatering).
Når de var inde i DevOp-ingeniørens computer, implementerede hackere keylogger-malware for at fange brugerens hovedadgangskode, da den blev indtastet, efter at de havde godkendt sig selv med multifaktorgodkendelse (MFA). Tyveriet af denne hovedadgangskode tillod derefter hackerne at få adgang til medarbejderens virksomhedsboks.
Ifølge LastPass blev følgende følsomme datakategorier tilgået i hver hændelse.
Dette blev opnået ved at målrette DevOps-ingeniørens hjemmecomputer og udnytte en sårbar tredjeparts mediesoftwarepakke, som muliggjorde fjernudførelse af kode og gjorde det muligt for trusselsaktøren at implantere keylogger-malware. Trusselsaktøren var i stand til at fange medarbejderens hovedadgangskode, da den blev indtastet, efter at medarbejderen var godkendt med MFA, og fik adgang til DevOps-ingeniørens LastPass-virksomhedsboks.
- Karim Toubba (administrerende direktør for LastPass)
Data, der blev tilgået i den første hændelse:
- Cloudbaseret udvikling og kildekodelagre efter behov
- Interne scripts fra lagrene
- Intern dokumentation
Data, der blev tilgået i den anden hændelse:
- DevOps-hemmeligheder
- Cloud-baseret backup-lager
- Sikkerhedskopiering af LastPass MFA/føderationsdatabase
Kompromitteringen af LastPass's sikkerhedskopier gjorde det muligt for trusselsaktørerne at få adgang til en bred vifte af følsomme kundeoplysninger, herunder gendannelse af engangsadgangskoder.
Se den komplette liste over kompromitterede LastPass-data >
4 kritiske lektioner fra LastPass-bruddet
Følgende vigtige lektioner kan læres af denne LastPass-sikkerhedshændelse.
1. Segmenter dit netværk
Et af LastPass' få prisværdige svar var dets forsøg på at afbøde virkningen ved at implementere inddæmningsforanstaltninger. Det er meget nemmere at isolere aktive cybertrusler inden for rammerne af et segmenteret netværk. Netværkssegmentering er også en effektiv metode til at forstyrre arbejdsgangene for sofistikerede cyberangreb, såsom phishing- og ransomware-angreb.
>Få mere at vide om, hvordan du forsvarer dig mod ransomware-angreb >
2. Vær fuldstændig gennemsigtig over for berørte brugere
LastPass' primære fejl var ikke, at dens primære sikkerhedskontroller ikke forhindrede et databrud (selvom en sådan cybersikkerhedskapacitet forventes af en Password Manager); Det var dens vage og langtrukne metode til at advare berørte kunder. I alt offentliggjorde LastPass fem forskellige opdateringer om sin sikkerhedshændelse, og hver gang føltes det, som om LastPass undlod at være helt ligefrem om hændelsens grad af indvirkning - som det fremgår af, at LastPass skjulte de provokerende detaljer om, hvordan medarbejderens virksomhedsboks blev kompromitteret i et separat "Yderligere detaljer"-dokument.
Hvis der er én vigtig lektie, vi kan lære af dette databrud og alle andre større brud, er det dette - tag ejerskab over dine fejl. At være helt ærlig om de cybersikkerhedsfejl, der resulterede i et brud, forhindrer måske ikke skade på omdømmet, men det kan reducere den tid, det tager at komme sig over det, betydeligt.
For et andet eksempel på PR-indsats, der ikke skal følges, kan du læse om, hvordan Optus reagerede på sit store databrud.
3. Implementer en stærk adgangskodepolitik
Sørg for, at din adgangskodepolitik strengt forbyder dårlige vaner som genbrug af adgangskoder. Fordi der allerede er sket så mange databrud, er chancerne for, at nogle af dine adgangskoder allerede er blevet kompromitteret og er tilgængelige på det mørke web.
Da de cyberkriminelle kompromitterede backup-data fra kundebokse (annonceret den 22. december 2022), kunne de have fået adgang til deres bokse, hvis ofrene var blevet kompromitteret i tidligere brud og havde praktiseret genbrug af adgangskoder.
4. Implementer stærke sikkerhedspolitikker for eksterne enheder
Den højeste grad af skade under denne begivenhed opstod, efter at en LastPass DevOps Engineers bærbare computer blev kompromitteret, hvilket kun skete, fordi enheden blev udsat gennem en sårbarhed inde i en tredjeparts mediesoftwarepakke (spekuleret til at være Plex). Hvis denne tredjeparts mediepakke var Plex, brugte medarbejderen deres arbejdscomputer til personlig underholdning.
Din sikkerhedspolitik for WFH-enheder bør afgrænse den tilladte brug af virksomhedens bærbare computere og andre slutpunkter, der er overdraget til eksterne medarbejdere. Som minimum bør disse politikker forbyde installation af personlige applikationer uden udtrykkelig godkendelse fra sikkerhedsteams.
Selv tilsyneladende uskyldige handlinger, som f.eks. adgang til apps til sociale medier som Linkedin eller webapps som Amazon, øger din phishing-angrebsflade og bør derfor også behandles i værdipapirpolitikker.
UpGuard hjælper virksomheder med at opdage og lukke sikkerhedsrisici, før cyberkriminelle udnytter dem. Ved at kombinere administration af angrebsoverflader med funktioner til styring af leverandørrisiko giver UpGuard den mest omfattende beskyttelse mod interne og tredjeparts sikkerhedsrisici.
Se denne video for en hurtig rundvisning i UpGuard-platformen.