Újabb, az eddigieknél is vérfagyasztóbb részletek derültek ki az elterjedt jelszókezelő, a LastPass rendszerének tavaly augusztusi feltöréséről. Nem csak a biztonsági hiányosságok, hanem azok kommunikációja is botrányosnak mondható.
A biztonsági incidens még tavaly augusztusban történt, azóta a cég rendszertelen időközökben csöpögtet újabb és újabb információkat az eseményről. Eleinte még arról volt szó, hogy a hacker valahogy bejutott a cég fejlesztői környezetébe, és hozzájutott némi forráskódhoz; ekkor még azt kommunikálta a LastPass, hogy „nincs bizonyíték” arra, hogy felhasználói adatok sérültek volna.
Aztán decemberben jött az újabb üzenet: nos, bizonyos felhasználói információkhoz tényleg hozzáfértek a hackerek, de nem mondhatjuk meg pontosan, hogy milyen adatok érintettek. Pár héttel később aztán már elmondták, hogy milyen adatokról volt szó. A felhasználók jelszótároló széfjeivel kapcsolatos adatokról, amelyek „nagyon valószínűtlen esetekben” lehetővé teszik a teljes hozzáférést a felhasználók fiókjaihoz. Most pedig – jó fél évvel az eredeti incidens után – újabb részletekre derült fény, amelyek még rosszabb színben tüntetik fel a vállalatot.
A legújabb, a hét elején megjelentetett blogbejegyzés szerint az eredeti, augusztusi támadás során a hacker bejutott a LastPass egyik legtöbb jogosultsággal rendelkező alkalmazottjának otthoni számítógépére. Az egyik vezető fejlesztőről volt szó, annak a négy munkatársnak az egyikéről, akik hozzáférhettek a platform megosztott felhőkörnyezetének titkosítását feloldó kulcsokhoz. A feltört számítógépre a billentyűleütéseket rögzítő (keylogger) programot telepített, annak révén pedig hozzájuthatott a fejlesztő központi LastPass jelszavához. Ennek birtokában az illető jelszótárából további feloldó kulcsokat szerzett meg; behatolt a LastPass megosztott felhőkörnyezetébe, ahonnan aztán nagy adag érzékeny adatot talicskázott ki.
És hogy milyen adatokról van szó? Olyanokról, amelyek segítségével hozzá lehet férni az Amazon felhőjében tárolt LastPass biztonsági mentésekhez, egyéb felhő alapú tárolórendszerekhez és néhány, kritikus fontosságú adatbázis-mentéshez, majd fel is lehet oldani azok titkosítását.
Az ilyen mélységű betörés bármely cég esetében roppant kellemetlen lenne, de annak fényében még inkább végtelenül kínos, hogy a vállalatot pontosan legféltettebb titkaik megőrzésével bízták meg az ügyfelek. Ami pedig még rosszabb, az az egész eseménysorozat kommunikálása, az incidens súlyának elbagatellizálása, a legkevésbé sem transzparens tájékoztatás. Van olyan biztonsági szakíró, aki azt tanácsolja a felhasználóknak: teljes egészében felejtsék el a LastPasst.
