30 september 2022
LastPass deelde vorige maand meer details over een beveiligingsincident en onthulde dat een aanvaller in augustus 2022 gedurende een periode van vier dagen toegang had tot zijn systemen.
Karim Tubba, CEO van LastPass, zei in een update die op 15 september werd gepubliceerd: “Er zijn geen aanwijzingen voor activiteit van bedreigingsactoren buiten het vastgestelde schema.”
LastPass kondigde eind augustus aan dat een inbreuk op zijn ontwikkelomgeving leidde tot de diefstal van enkele broncode en technische gegevens, hoewel er geen verdere details werden verstrekt.
Het bedrijf, dat naar eigen zeggen een onderzoek had afgerond in samenwerking met Mandiant, een incidentresponsbedrijf, ontdekte dat toegang was verkregen via een gecompromitteerd ontwikkelaarseindpunt.
LastPass heeft vastgesteld dat de aanvaller de permanente toegang tot “developer analytics” heeft verkregen na authenticatie met de inloggegevens van een ontwikkelaar met behulp van multi-factor authenticatie.
Het bedrijf herhaalde dat de aanvaller ondanks de ongeautoriseerde toegang geen gevoelige klantgegevens heeft verkregen vanwege het systeemontwerp en zero-trust-controles om dergelijke incidenten te voorkomen. Deze omvatten volledige isolatie van ontwikkel- en productieomgevingen en het onvermogen om toegang te krijgen tot wachtwoordarchieven van klanten zonder een hoofdwachtwoord dat door gebruikers is ingesteld.
“Zonder een hoofdwachtwoord kan niemand behalve de eigenaar van de kluis gegevens uit de kluis ontsleutelen”, merkt Tubba op.
Bovendien zei hij dat ze integriteitscontroles hebben uitgevoerd om te zoeken naar tekenen van misbruik in de broncode, en dat ontwikkelaars niet over de nodige rechten beschikken om broncode rechtstreeks van een ontwikkelomgeving naar productie te pushen.
Ten slotte merkte LastPass op dat het de diensten van een “toonaangevend” cyberbeveiligingsbedrijf heeft ingeschakeld om zijn broncode beveiliging te verbeteren en aanvullende eindpuntbeveiligingsrichtlijnen heeft geïmplementeerd om aanvallen op zijn systemen beter te detecteren en te voorkomen.
