關(guān)鍵詞

數(shù)據(jù)泄露

科技媒體 bleepingcomputer 昨日（12 月 11 日）發(fā)布博文，報(bào)道稱英國(guó)信息專員辦公室（ICO）發(fā)布公告，因 LastPass 未能采取有效的安全措施，導(dǎo)致 2022 年發(fā)生重大數(shù)據(jù)泄露事件，決定對(duì)其處以 120 萬英鎊（注：現(xiàn)匯率約合 1134.9 萬元人民幣）罰款。

調(diào)查報(bào)告指出，LastPass 在 2022 年 8 月至 10 月期間發(fā)生兩起關(guān)聯(lián)性數(shù)據(jù)泄露事件，由于未能落實(shí)足夠的安全防護(hù)措施，直接導(dǎo)致黑客成功竊取了多達(dá) 160 萬英國(guó)用戶的個(gè)人數(shù)據(jù)，包括姓名、電子郵件、電話號(hào)碼以及最為核心的加密密碼庫備份。

ICO 專員 John Edwards 強(qiáng)調(diào)，用戶有理由通過密碼管理器獲得最高級(jí)別的數(shù)據(jù)保護(hù)，但 LastPass 未能履行這一基本義務(wù)。

事后調(diào)查顯示，此次入侵的路徑極具針對(duì)性且層層遞進(jìn)。攻擊者首先在 2022 年 8 月入侵了一名開發(fā)人員的筆記本電腦，獲取了部分源代碼和加密的公司憑證。

由于解密密鑰被隔離存儲(chǔ)，LastPass 初期誤判風(fēng)險(xiǎn)可控。然而，攻擊者隨即鎖定了持有密鑰的四名高級(jí)員工之一，利用其家用設(shè)備上安裝的流媒體軟件 Plex 的已知漏洞實(shí)施滲透。

黑客在設(shè)備植入惡意軟件和鍵盤記錄器后，成功截獲了該高管的主密碼，并利用已通過驗(yàn)證的 Cookie 繞過了多因素認(rèn)證（MFA），徹底攻破防線。

黑客利用竊取的高管權(quán)限訪問了公司云存儲(chǔ)（GoTo），并復(fù)制了包含客戶數(shù)據(jù)的數(shù)據(jù)庫備份。雖然 LastPass 采用 " 零知識(shí)架構(gòu) "（Zero Knowledge architecture），即公司服務(wù)器不存儲(chǔ)用戶的主密碼，理論上黑客無法直接解密用戶數(shù)據(jù)，但安全隱患依然嚴(yán)峻。

安全專家指出，攻擊者已掌握了加密的密碼庫文件，可以利用 GPU 算力進(jìn)行離線暴力破解。如果用戶設(shè)置的主密碼長(zhǎng)度不足或過于簡(jiǎn)單，其存儲(chǔ)的所有賬號(hào)密碼仍面臨被完全破譯的風(fēng)險(xiǎn)。事實(shí)上，已有研究人員聲稱發(fā)現(xiàn)部分加密貨幣盜竊案與此次泄露的弱密碼庫有關(guān)。

針對(duì)此次處罰，LastPass 表示雖然對(duì)結(jié)果感到失望，但已積極配合調(diào)查并顯著加強(qiáng)了安全架構(gòu)。ICO 則借此案例警告所有企業(yè)，必須重新審查遠(yuǎn)程辦公風(fēng)險(xiǎn)和設(shè)備安全策略。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！