การละเมิดข้อมูล LastPass (ไทม์ไลน์เหตุการณ์และบทเรียนสําคัญ)

ในเดือนสิงหาคม พ.ศ. 2022 LastPass ประสบกับการละเมิดข้อมูลที่มีผลกระทบทวีความรุนแรงขึ้น ซึ่งในที่สุดก็ส่งผลให้ผู้ใช้จํานวนมากอพยพไปยังโซลูชันตัวจัดการรหัสผ่านทางเลือก

โพสต์นี้ให้ภาพรวมของไทม์ไลน์ของเหตุการณ์ระหว่างการโจมตีทางไซเบอร์ของ LastPass และบทเรียนที่สําคัญเพื่อช่วยให้คุณหลีกเลี่ยงการประสบชะตากรรมที่คล้ายคลึงกัน

เรียนรู้ว่า UpGuard ปรับปรุงการจัดการความเสี่ยงของผู้ขาย>ได้อย่างไร

ไทม์ไลน์ของเหตุการณ์ระหว่างการละเมิดข้อมูล LastPass (2022-2023)

เพื่อดึงบทเรียนที่สําคัญจากเหตุการณ์ความปลอดภัยทางไซเบอร์ของ LastPass นี้ได้อย่างมีประสิทธิภาพสูงสุดการทําความเข้าใจบริบททั้งหมดของความพยายามในการตอบสนองของ Lastpass ซึ่งระบุไว้ในไทม์ไลน์ของเหตุการณ์สําคัญด้านล่าง

สิงหาคม 25, 2022

เหตุการณ์: ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาต

Karim Toubba ซีอีโอของ LastPass เผยแพร่ประกาศแจ้งให้ผู้ใช้ทราบว่าตรวจพบกิจกรรมที่ผิดปกติและน่าสงสัยภายในสภาพแวดล้อมการพัฒนา LastPass

- Karim Toubba (ซีอีโอของ LastPass)

กันยายน 15, 2022

เหตุการณ์: LastPass อ้างว่าไม่มีข้อมูลลูกค้าหรือรหัสผ่านถูกบุกรุก

ด้วยความช่วยเหลือจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Mandiant LastPass ได้ดําเนินการสอบสวนเหตุการณ์ด้านความปลอดภัยให้เสร็จสิ้น ผลการวิจัยเผยให้เห็นว่าผู้คุกคามสามารถเข้าถึงสภาพแวดล้อมการพัฒนาของบริษัทได้เพียงสี่วันเท่านั้น และในช่วงเวลานั้น ไม่พบหลักฐานข้อมูลลูกค้าหรือการประนีประนอมรหัสผ่าน

- Karim Toubba (ซีอีโอของ LastPass)

พฤศจิกายน 30, 2022

เหตุการณ์: ตรวจพบกิจกรรมที่ผิดปกติในผู้ให้บริการบุคคลที่สาม

แฮกเกอร์ใช้รายละเอียดที่ถูกขโมยระหว่างเหตุการณ์ในเดือนสิงหาคมสามารถเข้าถึงบริการจัดเก็บข้อมูลบนคลาวด์ของบุคคลที่สามของ LastPass ที่ใช้ในการเก็บข้อมูลสํารองของข้อมูลการผลิต สิ่งนี้นําไปสู่บางแง่มุมของข้อมูลลูกค้า Lastpass ถูกบุกขาด

- Karim Toubba (ซีอีโอของ LastPass) 

ธันวาคม 22, 2022

เหตุการณ์: ตรวจพบกิจกรรมที่ผิดปกติในผู้ให้บริการบุคคลที่สาม

LastPass ค้นพบว่าในขณะที่อยู่ในสภาพแวดล้อมการจัดเก็บข้อมูลบนคลาวด์ของบุคคลที่สามผู้คุกคามได้บุกรุกข้อมูลบัญชีลูกค้า LastPass พื้นฐานและการสํารองข้อมูลห้องนิรภัยของลูกค้าซึ่งรวมถึงข้อมูลที่ไม่ได้เข้ารหัส กล่าวอีกนัยหนึ่งแฮกเกอร์สามารถเข้าถึงห้องนิรภัยรหัสผ่านของลูกค้าได้ แต่หากไม่มีรหัสผ่านหลักก็ไม่มีวิธีการเปิด

อย่างไรก็ตาม สิ่งนี้ไม่ได้ขจัดศักยภาพในการเข้าถึง หากผู้ใช้ LastPass ได้รับผลกระทบจากการละเมิดข้อมูลก่อนหน้านี้แฮกเกอร์อาจพยายามใช้รหัสผ่านที่ถูกบุกขาดที่ซื้อบนเว็บมืด หรือกลยุทธ์กําลังดุร้ายอื่นๆ

- Karim Toubba (ซีอีโอของ LastPass) 

01 มีนาคม, 2023

เหตุการณ์: ผู้คุกคามเข้าถึงการพัฒนาที่ไม่ใช่การผลิตและสภาพแวดล้อมการจัดเก็บสํารองข้อมูล

มีการประกาศพัฒนาการที่สําคัญเพิ่มเติม โดยมีป้ายกํากับว่า "เหตุการณ์ 2 " LastPass เปิดเผยว่าอาชญากรไซเบอร์สามารถเข้าถึงคอมพิวเตอร์ที่บ้านของวิศวกร DevOps อาวุโสโดยใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยในแพ็คเกจซอฟต์แวร์สื่อของบุคคลที่สาม (สงสัยว่าเป็นซอฟต์แวร์สื่อ Plex) พนักงานคนนี้ตกเป็นเป้าหมายเนื่องจากพวกเขาสามารถเข้าถึงคีย์ถอดรหัสที่จําเป็นในการเข้าถึงห้องนิรภัยของบัญชี LastPass ที่ถูกบุกรุก (กล่าวถึงในการอัปเดตก่อนหน้านี้)

เมื่ออยู่ในคอมพิวเตอร์ของวิศวกร DevOp แฮกเกอร์ได้ปรับใช้มัลแวร์ keylogger เพื่อจับรหัสผ่านหลักของผู้ใช้ขณะที่พิมพ์หลังจากที่พวกเขาตรวจสอบความถูกต้องด้วยการรับรองความถูกต้องแบบหลายปัจจัย (MFA) การขโมยรหัสผ่านหลักนี้ทําให้แฮกเกอร์สามารถเข้าถึงห้องนิรภัยขององค์กรของพนักงานได้

จากข้อมูลของ LastPass มีการเข้าถึงหมวดหมู่ข้อมูลที่ละเอียดอ่อนต่อไปนี้ในแต่ละเหตุการณ์

สิ่งนี้ทําได้โดยการกําหนดเป้าหมายคอมพิวเตอร์ที่บ้านของวิศวกร DevOps และใช้ประโยชน์จากแพ็คเกจซอฟต์แวร์สื่อของบุคคลที่สามที่มีช่องโหว่ ซึ่งช่วยให้ความสามารถในการเรียกใช้โค้ดจากระยะไกลและอนุญาตให้ผู้คุกคามฝังมัลแวร์ keylogger ได้ ผู้คุกคามสามารถจับรหัสผ่านหลักของพนักงานได้เมื่อป้อนหลังจากที่พนักงานตรวจสอบสิทธิ์ด้วย MFA และเข้าถึงห้องนิรภัยองค์กร LastPass ของวิศวกร DevOps

- Karim Toubba (ซีอีโอของ LastPass) 

ข้อมูลที่เข้าถึงในเหตุการณ์แรก:

• การพัฒนาบนคลาวด์ตามความต้องการ และที่เก็บซอร์สโค้ด
• สคริปต์ภายในจากที่เก็บ
• เอกสารภายใน

ข้อมูลที่เข้าถึงในเหตุการณ์ที่สอง:

• ความลับของ DevOps
• พื้นที่จัดเก็บข้อมูลสํารองบนคลาวด์
• การสํารองข้อมูลฐานข้อมูล LastPass MFA/Federation

การประนีประนอมการสํารองข้อมูลของ LastPass ทําให้ผู้คุกคามสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนของลูกค้าได้หลากหลาย รวมถึงการกู้คืนรหัสผ่านแบบใช้ครั้งเดียว

ดูรายการข้อมูล LastPass ทั้งหมดที่ถูกบุก>

4 บทเรียนที่สําคัญจากการละเมิด LastPass

บทเรียนสําคัญต่อไปนี้สามารถเรียนรู้ได้จากเหตุการณ์ด้านความปลอดภัยของ LastPass นี้

1. แบ่งกลุ่มเครือข่ายของคุณ

หนึ่งในคําตอบที่น่ายกย่องเพียงไม่กี่อย่างของ LastPass คือความพยายามที่จะบรรเทาผลกระทบโดยการใช้มาตรการกักกัน การแยกภัยคุกคามทางไซเบอร์ที่ใช้งานอยู่ภายในบริบทของเครือข่ายแบบแบ่งส่วนนั้นง่ายกว่ามาก การแบ่งส่วนเครือข่ายยังเป็นวิธีที่มีประสิทธิภาพในการขัดขวางเวิร์กโฟลว์ของการโจมตีทางไซเบอร์ที่ซับซ้อน เช่น การโจมตีแบบฟิชชิ่งและแรนซัมแวร์

เรียนรู้วิธีป้องกันการโจมตีของแรนซัมแวร์>

2. มีความโปร่งใสอย่างสมบูรณ์กับผู้ใช้ที่ได้รับผลกระทบ

ข้อบกพร่องหลักของ LastPass ไม่ใช่ว่าการควบคุมความปลอดภัยหลักล้มเหลวในการป้องกันการละเมิดข้อมูล (แม้ว่าความสามารถด้านความปลอดภัยทางไซเบอร์ดังกล่าวจะคาดหวังจากตัวจัดการรหัสผ่าน) มันเป็นวิธีการที่คลุมเครือและยืดเยื้อในการแจ้งเตือนลูกค้าที่ได้รับผลกระทบ โดยรวมแล้ว LastPass ได้เผยแพร่การอัปเดตที่แตกต่างกันห้ารายการเกี่ยวกับเหตุการณ์ด้านความปลอดภัย และทุกครั้งที่รู้สึกว่า LastPass ล้มเหลวในการพูดตรงไปตรงมาเกี่ยวกับระดับผลกระทบของเหตุการณ์ ดังที่เห็นได้จาก LastPass ที่ซ่อนรายละเอียดที่ยั่วยุเกี่ยวกับวิธีที่ห้องนิรภัยขององค์กรของพนักงานถูกบุกรุกในเอกสาร "รายละเอียดเพิ่มเติม" แยกต่างหาก

หากมีบทเรียนสําคัญประการหนึ่งที่ต้องเรียนรู้จากการละเมิดข้อมูลครั้งนี้และการละเมิดที่สําคัญอื่น ๆ ทั้งหมดก็คือ - เป็นเจ้าของความผิดพลาดของคุณ การเปิดเผยข้อมูลเบื้องต้นเกี่ยวกับความผิดพลาดด้านความปลอดภัยทางไซเบอร์ที่ส่งผลให้เกิดการละเมิดอาจไม่สามารถป้องกันความเสียหายต่อชื่อเสียง แต่สามารถลดเวลาที่ใช้ในการกู้คืนได้อย่างมาก

สําหรับอีกตัวอย่างหนึ่งของความพยายามในการประชาสัมพันธ์ที่จะไม่ปฏิบัติตาม โปรดอ่านเกี่ยวกับวิธีที่ Optus ตอบสนองต่อการละเมิดข้อมูลครั้งใหญ่

3. ใช้นโยบายรหัสผ่านที่รัดกุม

ตรวจสอบให้แน่ใจว่านโยบายรหัสผ่านของคุณห้ามนิสัยที่ไม่ดี เช่น การรีไซเคิลรหัสผ่านโดยเด็ดขาด เนื่องจากมีการละเมิดข้อมูลจํานวนมากเกิดขึ้นแล้ว จึงมีโอกาสที่รหัสผ่านบางส่วนของคุณจะถูกบุกรุกแล้วและพร้อมใช้งานบนเว็บมืด

เมื่ออาชญากรไซเบอร์บุกรุกข้อมูลห้องนิรภัยของลูกค้าสํารอง (ประกาศเมื่อวันที่ 22 ธันวาคม 2022) พวกเขาสามารถเข้าถึงห้องนิรภัยของตนได้หากเหยื่อถูกบุกรุกในการละเมิดครั้งก่อนและฝึกฝนการรีไซเคิลรหัสผ่าน

4. ใช้นโยบายความปลอดภัยที่เข้มงวดสําหรับอุปกรณ์ระยะไกล

ความเสียหายในระดับสูงสุดในระหว่างเหตุการณ์นี้เกิดขึ้นหลังจากแล็ปท็อปของวิศวกร LastPass DevOps ถูกบุกรุก ซึ่งเกิดขึ้นเพียงเพราะอุปกรณ์ถูกเปิดเผยผ่านช่องโหว่ภายในแพ็คเกจซอฟต์แวร์สื่อของบุคคลที่สาม (คาดเดาว่าเป็น Plex) หากแพ็คเกจสื่อของบุคคลที่สามนี้เป็น Plex พนักงานจะใช้คอมพิวเตอร์ที่ทํางานเพื่อความบันเทิงส่วนตัว

นโยบายความปลอดภัยของคุณสําหรับอุปกรณ์ WFH ควรกําหนดขอบเขตการใช้งานแล็ปท็อปขององค์กรและปลายทางอื่นๆ ที่ได้รับมอบหมายให้พนักงานระยะไกลได้รับอนุญาต นโยบายเหล่านี้ควรห้ามการติดตั้งแอปพลิเคชันส่วนบุคคลโดยไม่ได้รับการอนุมัติอย่างชัดแจ้งจากทีมรักษาความปลอดภัย

แม้แต่การกระทําที่ดูเหมือนไร้เดียงสา เช่น การเข้าถึงแอปโซเชียลมีเดีย เช่น Linkedin หรือเว็บแอป เช่น Amazon ก็ยังเพิ่มพื้นผิวการโจมตีแบบฟิชชิ่งของคุณ ดังนั้นจึงควรได้รับการแก้ไขในนโยบายหลักทรัพย์ด้วย

UpGuard ช่วยให้ธุรกิจค้นพบและปิดความเสี่ยงด้านความปลอดภัยก่อนที่อาชญากรไซเบอร์จะใช้ประโยชน์จากความเสี่ยงเหล่านั้น ด้วยการรวมการจัดการพื้นผิวการโจมตีเข้ากับคุณสมบัติการจัดการความเสี่ยงของผู้ขาย UpGuard ให้การป้องกันที่ครอบคลุมที่สุดจากความเสี่ยงด้านความปลอดภัยภายในและของบุคคลที่สาม

ดูวิดีโอนี้เพื่อดูการแนะนําอย่างรวดเร็วของแพลตฟอร์ม UpGuard