Хакеры украли зашифрованные хранилища паролей из менеджера LastPass

Один из крупнейших менеджеров паролей LastPass подтвердил, что ранее в этом году хакеры украли зашифрованные хранилища паролей его клиентов. Об утечке сообщил генеральный директор LastPass Карим Тоубба.

Он рассказал, что злоумышленники получили доступ к резервным копиям данных хранилища клиентов, используя ключи облачного хранилища, украденные у сотрудника сервиса в августе 2022 года.

«Злоумышленник скопировал информацию из резервной копии, которая содержала основные данные об учетных записях клиентов и связанные с этим метаданные, включая названия компаний, имена конечных пользователей, платежные адреса, адреса электронной почты, номера телефонов и IP-адреса, с которых клиенты получали доступ к службе LastPass. Злоумышленник также смог скопировать бэкап данных хранилищ клиентов из зашифрованного контейнера, который хранится в проприетарном двоичном формате и содержит как незашифрованные данные (такие как URL-адреса сайтов), так и полностью зашифрованные конфиденциальные поля, такие как веб-сайты, имена пользователей и пароли, защищенные заметки и данные для заполнения форм», — пишет Тубба.

Ещё в начале декабря разработчики писали, что «неавторизованная сторона, используя информацию, полученную в ходе инцидента в августе 2022 года, сумела получить доступ к некоторым данным клиентов», но подробностей не было, так как их обещали предоставить после завершения расследования.

Как заверяют разработчики, украденные данные защищены 256-битным шифрованием AES и могут быть расшифрованы только с помощью уникального ключа шифрования, полученного из мастер-пароля каждого пользователя. Тубба отмечает, что мастер-пароль не известен LastPass, и он не хранится в системах LastPass.

Впрочем, пользователей всё равно предупреждают о том, что злоумышленники могут попытаться взломать их мастер-пароли, чтобы получить доступ к украденным зашифрованным данным хранилищ. При этом разработчики настаивают, что «потребуются миллионы лет, чтобы подобрать мастер-пароль с помощью общедоступных технологий для взлома паролей».

«Конфиденциальные данные вашего хранилища, такие как имена пользователей и пароли, защищённые заметки, вложения и данные для заполнения форм, остаются надежно зашифрованными благодаря архитектуре нулевого разглашения (Zero Knowledge)», — пишут разработчики.

При этом в LastPass признают, что утекшие данные всё же могут использоваться для фишинговых атак на пользователей, атак с подстановкой учетных данных или бртуфорса аккаунтов, связанных с хранилищем LastPass.

О том, что хакеры взломали LastPass в SVTV писали 26 августа. Услугами компании пользуются более 33 миллионов человек и около 100 тысяч компаний. LastPass с прискорбием уведомил их о том, что злоумышленники взломали внутренние системы компании, используемые для разработки программного обеспечения. В LastPass заявляют, что непосредственные данные пользователей не были затронуты атакой. Тем не менее, хакеры украли исходный код программы. При помощи него они, в теории, могут найти уязвимости в защите LastPass.