LastPass mówi, że żadne hasła nie zostały zhakowane po strachu przed włamaniem

LastPass twierdzi, że nie ma dowodów na naruszenie danych po tym, jak użytkownicy zgłoszą, że zostali powiadomieni o nieautoryzowanych próbach logowania, jak wcześniej zgłoszono. Wielbłąd. Menedżer haseł zapewnia, że ​​nigdy nie został zhakowany, a do kont użytkowników nie mają dostępu złośliwi aktorzy.

Nicolette Paxo-Albaum, starszy dyrektor LogMeIn Global PR, powiedziała na początku krawędź Otrzymywane przez użytkowników alerty były związane z „dość powszechną aktywnością botów”, w tym złośliwymi próbami zalogowania się na konta LastPass przy użyciu adresów e-mail i haseł uzyskanych przez złośliwych graczy z wcześniejszych nadużyć usług stron trzecich (tj. nie LastPass).

„Ważne jest, aby pamiętać, że nic nie wskazuje na to, że konta zostały pomyślnie udostępnione lub że LastPass zostało naruszone przez nieautoryzowaną stronę”, powiedział Basco-Albaum. „Regularnie monitorujemy tego typu aktywność i będziemy nadal podejmować kroki mające na celu zapewnienie, że LastPass, jego użytkownicy i ich dane pozostają chronione i bezpieczne”.

Jednak wiceprezes LastPass ds. Zarządzania produktami Dan DeMichele późnym wieczorem we wtorek wieczorem wydał oświadczenie, aby krawędź Z bardziej szczegółowym wyjaśnieniem zauważa, że ​​przynajmniej niektóre alerty zostały „prawdopodobnie wywołane przez pomyłkę”, z powodu problemu, który LastPass został teraz rozwiązany.

Jak wspomniano wcześniej, LastPass zdaje sobie sprawę z ostatnich raportów użytkowników otrzymujących wiadomości e-mail ostrzegające ich o zablokowanych próbach logowania i bada je.
Szybko zbadaliśmy tę aktywność i w tej chwili nie mamy żadnych wskazówek, że jakiekolwiek konta LastPass zostały naruszone przez nieautoryzowaną stronę trzecią w wyniku tego upychania poświadczeń, ani nie znaleźliśmy żadnych wskazówek, że poświadczenia użytkownika LastPass zostały naruszone. Przechowywane przez złośliwe oprogramowanie, zwodnicze rozszerzenia przeglądarki lub kampanie phishingowe.
Jednak ze względu na dużą ostrożność kontynuowaliśmy dochodzenie w celu ustalenia, dlaczego z naszych systemów są wyzwalane automatyczne wiadomości e-mail z alertami dotyczącymi bezpieczeństwa.
Nasze dochodzenie wykazało, że niektóre z tych alertów bezpieczeństwa, które zostały wysłane do ograniczonej podgrupy użytkowników LastPass, zostały wywołane przez pomyłkę. W rezultacie zmodyfikowaliśmy nasze systemy ostrzegania o zabezpieczeniach i ten problem został już rozwiązany.
Alerty te zostały wywołane przez ciągłe wysiłki LastPass w celu obrony swoich klientów przed złymi aktorami i próbami łamania poświadczeń. Ważne jest również, aby powtórzyć, że model bezpieczeństwa z zerową wiedzą LastPass oznacza, że ​​w żadnym momencie LastPass nie przechowuje, nie zna ani nie uzyskuje dostępu do hasła głównego użytkownika.
Będziemy nadal regularnie monitorować wszelkie nietypowe lub złośliwe działania i, w razie potrzeby, będziemy nadal podejmować kroki mające na celu zapewnienie, że LastPass, jego użytkownicy i ich dane pozostają chronione i bezpieczne.

Raporty zaczynają się pojawiać pirackie wiadomości forum Po tym, jak użytkownik LastPass utworzył post podkreślający problem. Twierdzi, że LastPass ostrzegł go przed próbą zalogowania się z Brazylii za pomocą swojego hasła głównego. Inni użytkownicy szybko zareagowali na post, wskazując, że napotkali coś podobnego. Jak zauważa oryginalny plakat (technology_greg) w tweecie, niektórzy zostali również powiadomieni o próbie z Brazylii, podczas gdy inni byli śledzeni w różnych krajach. To, co zrozumiałe, wzbudziło obawy o wyłom.

Nawet jeśli LastPass nie jest faktycznie zhakowany, nadal dobrze jest wzmocnić swoje konto Uwierzytelnianie wieloskładnikowe, który wykorzystuje zewnętrzne źródła do weryfikacji Twojej tożsamości przed zalogowaniem się na Twoje konto.

Aktualizacja 29 grudnia o godzinie 12:20 ET: Nowe oświadczenie dodane z LastPass