In dem am 25. August veröffentlichten Advisory erklärte Karim Toubba, der CEO von LastPass, dass eine nicht autorisierte Partei „ Teile des Quellcodes und einige proprietäre technische Informationen von LastPass .“ Es waren jedoch keine Passwörter oder Konten von Kunden betroffen.

Die Passwortverwaltungsfirma wurde vor ein paar Wochen bei einer der größten Sicherheitsverletzungen des Jahres 2022 gehackt. Insider enthüllten mehreren Nachrichtenagenturen einige Details, die besagten, dass Mitarbeiter sich bemühten, den Angriff nach der Verletzung einzudämmen.



LastPass wurde vor zwei Wochen gehackt; Herausgegebene Empfehlung am 25. August

Ein Hacker hat vor zwei Wochen den Passwort-Manager von LastPass, GoTo (ehemals LogMeIn, Inc) infiltriert. Die erste Untersuchung des Unternehmens ergab, dass der Eindringling nur in der Lage war, die internen Systeme des Unternehmens für die Softwareentwicklung zu beschlagnahmen.

Glücklicherweise waren keine Daten zu Kundenpasswörtern und -details betroffen. Am Donnerstag, dem 25. August 2022, verschickte LastPass eine E-Mail an die Kunden über den Verstoß.



„ Wir haben festgestellt, dass eine nicht autorisierte Partei über ein einziges kompromittiertes Entwicklerkonto Zugriff auf Teile der LastPass-Entwicklungsumgebung erlangte und Teile des Quellcodes und einige proprietäre technische Informationen von LastPass entwendete “, heißt es in der E-Mail.

„ Wir haben keine Beweise dafür, dass dieser Vorfall einen Zugriff auf Kundendaten oder verschlüsselte Passwort-Tresore beinhaltete “, fügte es hinzu.

LastPass hat Eindämmungs- und Minderungsmaßnahmen ergriffen

Als Reaktion auf die Datenschutzverletzung hat LastPass „Eindämmungs- und Risikominderungsmaßnahmen“ ergriffen. Darüber hinaus haben sie eine führende Cybersicherheitsfirma beauftragt, den Einbruch zu untersuchen. Das Unternehmen hat auch eine veröffentlicht FAQ Bestätigung, dass alle LastPass-Produkte und -Dienste ununterbrochen und normal funktionieren.

LastPass hat keine weiteren Details geteilt, da der Passwort-Manager eine forensische Untersuchung einleitet. Die größte Sorge bleibt jedoch, dass die gestohlenen proprietären Daten Cyberkriminellen Platz machen könnten, um Schwachstellen im Betrieb des Unternehmens aufzudecken.

In den häufig gestellten Fragen des Unternehmens heißt es vorerst, dass LastPass keine Informationen über das „Master-Passwort“ speichert, das Kunden verwenden, um über die Passwortverwaltungsdienste auf ihre Konten zuzugreifen.

Stattdessen arbeitet das Unternehmen mit einem „Zero-Knowledge-Verschlüsselungs“-Mechanismus, um den Zugriff auf das Konto eines Benutzers freizuschalten. Das bedeutet, dass das Master-Passwort nur auf dem Gerät des Kunden und dessen Speicher gespeichert wird.

Wie können Sie sich vor der LastPass-Datenpanne schützen?

Da LastPass das Master-Passwort nirgendwo speichert und das „Zero Knowledge“-Modell verwendet, brauchen Sie sich als LastPass-Benutzer keine Sorgen zu machen. Das Unternehmen ist jedoch weiterhin besorgt, zukünftige Hacking-Versuche oder Kompromittierungen zu verhindern.

In den FAQ des Passwort-Managers heißt es außerdem: „Zu diesem Zeitpunkt empfehlen wir keine Maßnahmen im Namen unserer Benutzer oder Administratoren.“ Wenn Sie immer noch besorgt sind, können Sie einige allgemeine Maßnahmen ergreifen, wie z. B. das Ändern Ihres Master-Passworts und das Nichtspeichern auf Ihrem Gerät.

Sie sollten auch eine starke Kombination aus Buchstaben und Zahlen verwenden, um Ihr Passwort zu erstellen. Verwenden Sie keine zufälligen Serien wie 12345678 oder allgemeine Wörter wie Ihren Namen oder Standort. Die Verwendung eines schwer zu knackenden Passworts im Internet ist heutzutage ein Muss.

Ändern Sie Ihr LastPass-Master-Passwort

Das Master-Passwort für Ihr LastPass-Konto ist ein All-in-One-Schlüssel, der den Zugriff auf alles in Ihrem Konto freischaltet, einschließlich aller Website-Passwörter, sicheren Notizen, Formularausfüllelemente usw. Befolgen Sie diese Schritte, um Ihr LastPass-Master-Passwort zu ändern:

  • Starten Sie einen Webbrowser und besuchen Sie diese Seite .
  • Melden Sie sich nun mit Ihrer E-Mail-Adresse und Ihrem Master-Passwort an.
  • Wählen Sie als Nächstes Kontoeinstellungen aus der linken Navigation.
  • Klicken Sie auf der Registerkarte „Allgemein“ auf „Master-Passwort ändern“.

  • Geben Sie nun Ihr aktuelles Master-Passwort ein.
  • Geben Sie als Nächstes ein neues Master-Passwort ein und geben Sie einen Passworthinweis ein.
  • Klicken Sie abschließend auf „Master-Passwort speichern“.

Nachdem Sie das Master-Passwort zurückgesetzt haben, schreiben Sie es mit einem Kugelschreiber auf ein Blatt Papier und bewahren Sie das Papier an einem sicheren Ort auf. Werfen Sie es nicht in eine beliebige Schublade oder unter Ihre Matratze. Es wird auch empfohlen, eine Kopie des Papiers anzufertigen.

Auch LastPass erlitt letztes Jahr ein Credential Stuffing

LastPass erlitt letztes Jahr auch einen Credential-Stuffing-Angriff, der dazu führte, dass Angreifer Zugriff auf Master-Passwörter hatten. Das Unternehmen bestätigte, dass Master-Passwörter von Hackern gestohlen wurden. Die Eindringlinge verteilten auch die Malware RedLine, die Passwörter stiehlt, auf Systemen.

LastPass veröffentlichte die folgende Erklärung als Reaktion auf den Angriff: „ Unsere ersten Ergebnisse haben uns zu der Annahme veranlasst, dass diese Warnungen als Reaktion auf versuchte „Credential Stuffing“-Aktivitäten ausgelöst wurden, bei denen ein böswilliger oder böswilliger Akteur versucht, auf Benutzerkonten (in diesem Fall LastPass) zuzugreifen, indem er E-Mail-Adressen und Passwörter verwendet, die von Dritten stammen. Vertragsverletzungen im Zusammenhang mit anderen nicht verbundenen Diensten .“

„ Wir haben diese Aktivität schnell untersucht und haben derzeit keine Hinweise darauf, dass LastPass-Konten von einem nicht autorisierten Dritten als Ergebnis dieser Credential-Stuffing-Versuche kompromittiert wurden, noch haben wir Hinweise darauf gefunden, dass die LastPass-Anmeldeinformationen von Benutzern von Malware erfasst wurden , betrügerische Browsererweiterungen oder Phishing-Kampagnen .“

Zuvor hatte LastPass eine Sicherheitslücke in seiner Erweiterung für Google Chrome gemeldet. Obwohl es sich nicht gerade um einen Verstoß handelte, waren viele Internetnutzer aufgrund der Nachricht besorgt.

Im Moment ist die Situation unter der Kontrolle des Unternehmens. Wir halten Sie über weitere Entwicklungen auf dem Laufenden.