LastPass - частная корпорация в штате Делавэр со штаб-квартирой в штате Вирджиния, США.
История
2022
Кража данных 33 млн пользователей
22 декабря 2022 года команда LastPass, одного из самых популярных в мире менеджеров паролей, сообщила о том, что сервис подвергся хакерской атаке: злоумышленникам удалось похитить данные миллионов пользователей.
О взломе LastPass изначально стало известно в августе 2022 года. Тогда представители сервиса заявили, что пользовательская информация украдена не была, но злоумышленники получили доступ к определённому исходному коду и техническим сведениям из среды разработки сервиса. Эти данные, как теперь выясняется, использовались для атаки на одного из сотрудников LastPass. В результате, были похищены учётные данные и ключи, которые обеспечили киберпреступникам доступ к облачному хранилищу и позволили расшифровать некоторые находящиеся там тома.
В конечном итоге, хакеры смогли украсть резервную копию базы данных пользователей LastPass, количество которых составляет приблизительно 33 млн. В ней содержатся такие сведения, как имена людей и названия компаний, адреса электронной почты, телефонные номера, IP-адреса и некоторая информация финансового характера.TAdviser Security 100: Крупнейшие ИБ-компании в России 
LastPass при этом подчёркивает, что в открытом виде доступны только некоторые сведения, в частности, URL веб-сайтов. Вместе с тем персональные данные пользователей, пароли и данные заполнения форм защищены 256-битным шифрованием. Для получения доступа к ним требуется ключ, генерируемый на основе мастер-пароля, который известен только самому пользователю. Такой пароль должен содержать как минимум 12 символов, включая строчные и заглавные буквы, а также цифры. Злоумышленники могут попытаться подобрать нужную комбинацию методом грубой силы, но на это, как отмечает LastPass, потребуются миллионы лет. Однако есть и другой вариант: киберпреступники могут применить методы социальной инженерии или фишинг для получения мастер-пароля у самого пользователя.[1]
Взлом и кража исходного кода
Популярный менеджер паролей LastPass, которым пользуются 33 млн человек, подтвердил взлом сервиса. У платформа украли исходные коды и конфиденциальную техническую информацию, сообщили в компании в конце августа 2022 года.
 | Неавторизованная сторона получила доступ к частям среды разработки LastPass через одну скомпрометированную учетную запись разработчика, - говорится в заявлении LastPass. |  |
В компании заявили, что хакеры не получили доступа к паролям, поэтому пользователям не нужно менять их в учетных записях.
Компания генерирует и хранит автоматически созданные пароли для нескольких учётных записей, например, Netflix или Gmail. Благодаря работе сервиса пользователи могут хранить пароли без необходимости вводить вручную свои данные при входе на сайты.
Пароли зашифрованы алгоритмом AES-256 и хранятся в «облаке», так что их можно синхронизировать между устройствами. LastPass имеет заполнитель форм, что позволяет вводить пароли автоматически.
Как пишет Bloomberg, о взломе сервиса стало известно в середине августа 2022 года. Аналитик компании по кибербезопасности Recorded Future Аллан Лиска, чей комментарий приводит агентство, отметил, что был впечатлен скорыми сроками завершения предварительного расследования взлома: обычно специалистам требуется больше времени, чтобы полностью оценить ситуацию и сообщить о ней. Эксперт также счел убедительным заявление компании о том, что злоумышленники не получили доступа к данным клиентов.
| | Потребуется время, чтобы полностью определить степень ущерба, который мог быть нанесен в результате взлома. Однако на данный момент негативных последствий для клиентов не обнаружено, - сказал аналитик. [2] | |
