A violação de dados do LastPass (linha do tempo do evento e principais lições)
Em agosto de 2022, o LastPass sofreu uma violação de dados com impacto crescente, resultando em um êxodo em massa de usuários para soluções alternativas de gerenciamento de senhas.
Esta postagem fornece uma visão geral da linha do tempo dos eventos durante o ataque cibernético do LastPass e lições críticas para ajudá-lo a evitar sofrer um destino semelhante.
Saiba como o UpGuard simplifica o gerenciamento de riscos do fornecedor >
Linha do tempo dos eventos durante a violação de dados do LastPass (2022-2023)
Para extrair lições críticas desse incidente de segurança cibernética do LastPass de maneira mais eficaz, é útil entender o contexto completo dos esforços de resposta do Lastpass, descritos na linha do tempo dos principais eventos abaixo
25 de agosto de 2022
Evento: Acesso não autorizado detectado
O CEO do LastPass, Karim Toubba, publica um aviso informando aos usuários que atividades incomuns e suspeitas foram detectadas dentro do ambiente de desenvolvimento do LastPass.
- Karim Toubba (CEO do LastPass)
15 de setembro de 2022
Evento: O LastPass afirma que nenhuma informação de cliente ou senha foi comprometida.
Com a ajuda da empresa de segurança cibernética Mandiant, o LastPass conclui uma investigação sobre o incidente de segurança. As descobertas revelaram que o agente da ameaça só teve acesso ao ambiente de desenvolvimento da empresa por um total de quatro dias e, durante esse período, nenhuma evidência de comprometimento de informações do cliente ou senha foi encontrada.
- Karim Toubba (CEO do LastPass)
30 de novembro de 2022
Evento: Atividade incomum no provedor terceirizado detectada
Os hackers, usando detalhes roubados durante o incidente de agosto, obtêm acesso ao serviço de armazenamento em nuvem de terceiros do LastPass, usado para arquivar backups de dados de produção. Isso levou ao comprometimento de certos aspectos das informações do cliente do Lastpass.
- Karim Toubba (CEO do LastPass)
22 de dezembro de 2022
Evento: Atividade incomum no provedor terceirizado detectada
O LastPass descobre que, enquanto estava dentro do ambiente de armazenamento baseado em nuvem de terceiros, o agente da ameaça comprometeu as informações básicas da conta do cliente do LastPass e um backup dos dados do cofre do cliente, que incluíam dados não criptografados. Em outras palavras, os hackers tinham acesso aos cofres de senhas dos clientes, mas, sem as senhas mestras, não tinham os meios para abri-los.
Isso, no entanto, não removeu o potencial de obter acesso. Se os usuários do LastPass fossem afetados por violações de dados anteriores, os hackers poderiam ter tentado usar suas senhas comprometidas compradas na dark web; ou outras estratégias de força bruta.
- Karim Toubba (CEO do LastPass)
01 de março de 2023
Evento: o agente da ameaça acessa ambientes de armazenamento de backup e desenvolvimento que não são de produção.
Desenvolvimentos críticos adicionais são anunciados, rotulados como "Incidente 2. " O LastPass revela que os cibercriminosos obtiveram acesso ao computador doméstico de um engenheiro sênior de DevOps explorando uma vulnerabilidade de segurança em seu pacote de software de mídia de terceiros (suspeito de ser o software de mídia Plex). Esse funcionário foi alvo porque tinha acesso às chaves de descriptografia necessárias para acessar os cofres das contas comprometidas do LastPass (mencionadas na atualização anterior).
Uma vez dentro do computador do engenheiro de DevOp, os hackers implantaram malware keylogger para capturar a senha mestra do usuário enquanto ela estava sendo digitada depois que eles se autenticaram com a autenticação multifator (MFA). O roubo dessa senha mestra permitiu que os hackers acessassem o cofre corporativo do funcionário.
De acordo com o LastPass, as seguintes categorias de dados confidenciais foram acessadas em cada incidente.
Isso foi feito visando o computador doméstico do engenheiro de DevOps e explorando um pacote de software de mídia de terceiros vulnerável, que permitiu a capacidade de execução remota de código e permitiu que o agente da ameaça implantasse malware keylogger. O agente da ameaça conseguiu capturar a senha mestre do funcionário quando ela foi inserida, depois que o funcionário se autenticou com MFA e obteve acesso ao cofre corporativo do LastPass do engenheiro de DevOps.
- Karim Toubba (CEO do LastPass)
Dados acessados no primeiro Incidente:
- Desenvolvimento sob demanda, baseado em nuvem e repositórios de código-fonte
- Scripts internos dos repositórios
- Documentação interna
Dados acessados no segundo incidente:
- Segredos do DevOps
- Armazenamento de backup baseado em nuvem
- Backup do banco de dados de federação/MFA do LastPass
O comprometimento dos backups do LastPass permitiu que os agentes de ameaças acessassem uma ampla gama de informações confidenciais do cliente, incluindo senhas de uso único de recuperação.
Veja a lista completa de dados comprometidos do LastPass >
4 lições críticas da violação do LastPass
As principais lições a seguir podem ser aprendidas com esse incidente de segurança do LastPass.
1. Segmente sua rede
Uma das poucas respostas louváveis do LastPass foi sua tentativa de mitigar o impacto implantando medidas de contenção. É muito mais fácil isolar ameaças cibernéticas ativas no contexto de uma rede segmentada. A segmentação de rede também é um método eficaz de interromper os fluxos de trabalho de ataques cibernéticos sofisticados, como ataques de phishing e ransomware.
>Saiba como se defender contra ataques de ransomware >
2. Seja completamente transparente com os usuários afetados
A principal falha do LastPass não foi que seus principais controles de segurança falharam em impedir uma violação de dados (embora esse recurso de segurança cibernética seja esperado de um gerenciador de senhas); era seu método vago e demorado de alertar os clientes afetados. No total, o LastPass publicou cinco atualizações diferentes sobre seu incidente de segurança e, em cada vez, parecia que o LastPass falhou em ser completamente franco sobre o grau de impacto do incidente - como evidenciado pelo LastPass escondendo os detalhes inflamatórios sobre como o cofre corporativo de seu funcionário foi comprometido em um documento separado de "Detalhes adicionais".
Se há uma grande lição a ser aprendida com essa violação de dados e todas as outras violações importantes, é esta: assuma a responsabilidade por seus erros. Ser totalmente franco sobre os erros de segurança cibernética que resultaram em uma violação pode não evitar danos à reputação, mas pode reduzir significativamente o tempo necessário para se recuperar.
Para outro exemplo de esforços de relações públicas a não seguir, leia sobre como a Optus respondeu à sua grande violação de dados.
3. Implemente uma política de senha forte
Certifique-se de que sua política de senhas proíba estritamente maus hábitos, como a reciclagem de senhas. Como muitas violações de dados já aconteceram, é provável que algumas de suas senhas já tenham sido comprometidas e estejam disponíveis na dark web.
Quando os cibercriminosos comprometeram os dados do cofre do cliente de backup (anunciado em 22 de dezembro de 2022), eles poderiam ter obtido acesso aos cofres se as vítimas tivessem sido comprometidas em violações anteriores e praticado a reciclagem de senhas.
4. Implemente políticas de segurança fortes para dispositivos remotos
O maior grau de dano durante esse evento ocorreu depois que o laptop de um engenheiro de DevOps do LastPass foi comprometido, o que só aconteceu porque o dispositivo foi exposto por meio de uma vulnerabilidade dentro de um pacote de software de mídia de terceiros (especulado como Plex). Se esse pacote de mídia de terceiros fosse o Plex, o funcionário usava o computador de trabalho para entretenimento pessoal.
Sua política de segurança para dispositivos WFH deve demarcar o uso permitido de laptops corporativos e outros endpoints confiados a funcionários remotos. No mínimo, essas políticas devem proibir a instalação de aplicativos pessoais sem a aprovação explícita das equipes de segurança.
Mesmo ações aparentemente inocentes, como acessar aplicativos de mídia social como o Linkedin ou aplicativos da web como a Amazon, aumentam sua superfície de ataque de phishing e, portanto, também devem ser abordadas nas políticas de valores mobiliários.
O UpGuard ajuda as empresas a descobrir e eliminar os riscos de segurança antes que os cibercriminosos os explorem. Ao combinar o gerenciamento da superfície de ataque com os recursos de gerenciamento de risco do fornecedor, o UpGuard fornece a proteção mais abrangente contra riscos de segurança internos e de terceiros.
Assista a este vídeo para um rápido tour pela plataforma UpGuard.