LastPass は人気のあるパスワード マネージャーであり、データ侵害の公平なシェア以上の被害を受けています。 12 月に私たち自身の John Durso によってここで報告された最新の LastPass データ侵害に関する情報が明らかになりました: LastPass ハッカーがボールト データを取得
どうやら、在宅勤務の従業員の PC が、キーロガーの展開に悪用された、サードパーティのメディア プレーヤーの脆弱性。キーロガーが展開されると、従業員が公式の資格情報を使用してログインするのは時間の問題でした。ハッカーは、従業員の企業の保管庫にアクセスするために必要なものをすべて手に入れました。以下は、LastPass レポートからの抜粋です。
攻撃者は、脆弱なサードパーティ製ソフトウェアを悪用して、上級 DevOps エンジニアのリモート PC を標的にしました。攻撃者はこの脆弱性を悪用してマルウェアを配信し、既存の制御を回避し、最終的にクラウド バックアップへの不正アクセスを取得しました。これらのバックアップからアクセスされたデータには、システム構成データ、API シークレット、サードパーティの統合シークレット、および暗号化および暗号化されていない LastPass 顧客データが含まれていました ~ <ソース>
何度も繰り返してきたように、ほとんどのマルウェアは、ユーザー側で何らかの不用意なアクションを実行する必要があります。複数のユーザーが操作するネットワーク コンピュータでは、そのリスクは際限なく高まります。 LastPass ボールトが直接侵害されたわけではありませんが、リモートの従業員がこの種のサードパーティによる侵害を回避するための教育を受けていないことは注目に値します。実際、非常に機密性の高い資料を含む本質的に仕事用の PC が、従業員自身の個人的な要件とは完全に切り離されて維持されていないということは考えられません。
LastPass は、DevOps を強化するプロセスにあると述べていますエンジニアのホーム ネットワーク セキュリティ。これは確かに正しい方向への一歩ですが、自宅で機密情報を扱うこれらのタイプの従業員は、2 台の完全に別個の PC を維持するように命じられるべきです。
LastPass ユーザーが行う必要があること
LastPass ユーザーであり、LastPass の速報、大丈夫です。ただし、これについて今知ったばかりの場合は、John Durso の以前の記事からのアドバイスに従う必要があります。
LastPass マスター パスワードを変更するLastPass 多要素認証がオンになっていない場合はオンにする重要な Web サイトのパスワードをすべて変更する(電子メール、金融機関、クレジット カードなど)
外出先でも安全を確保してください。
—
