हाल ही में कई लास्टपास उपयोगकर्ताओं ने रिपोर्ट किया है कि उनके मास्टर पासवर्ड से छेड़छाड़ की गई है ईमेल चेतावनियाँ प्राप्त करने के बाद कि किसी ने अज्ञात स्थानों से उनके खातों में लॉग इन करने के लिए उनका उपयोग करने का प्रयास किया है।
लास ईमेल सूचनाएँ उन्होंने यह भी उल्लेख किया है कि कनेक्शन प्रयासों को अवरुद्ध कर दिया गया था क्योंकि दुनिया के अज्ञात स्थानों से बनाए गए थे।
लॉगिन अलर्ट चेतावनी देता है, "किसी ने आपके मास्टर पासवर्ड का उपयोग किसी ऐसे डिवाइस या स्थान से आपके खाते में साइन इन करने का प्रयास करने के लिए किया है जिसे हम नहीं पहचानते।" लास्टपास ने इस प्रयास को अवरुद्ध कर दिया, लेकिन आपको करीब से देखना चाहिए। यह आप थे? «
समझौता किए गए लास्टपास मास्टर पासवर्ड रिपोर्ट ट्विटर सहित विभिन्न सोशल नेटवर्किंग साइटों और ऑनलाइन प्लेटफार्मों के माध्यम से वितरित की जाती हैं।
अधिकांश रिपोर्टें ऐसा प्रतीत होता है कि यह पुराने लास्टपास खातों वाले उपयोगकर्ताओं से आया है, जिसका अर्थ है कि उन्होंने कुछ समय से सेवा का उपयोग नहीं किया है और पासवर्ड नहीं बदला है। उस समय बनाई गई धारणाओं में से एक यह थी कि उपयोग किए गए मास्टर पासवर्ड की सूची पिछले हैक से आई हो सकती है।
कुछ उपयोगकर्ताओं का दावा है कि उनके पासवर्ड बदलने से मदद नहीं मिली, और एक उपयोगकर्ता ने प्रत्येक पासवर्ड परिवर्तन के साथ कई स्थानों से नए लॉगिन प्रयास देखने का दावा किया।
लास्टपास ने अवरुद्ध लॉगिन प्रयासों की हालिया रिपोर्टों की जांच की है और यह निर्धारित किया है कि गतिविधि कुछ काफी सामान्य बॉट गतिविधि से संबंधित है, जहां एक दुर्भावनापूर्ण अभिनेता या अभिनेता उपयोगकर्ता खातों तक पहुंचने का प्रयास करता है (इस मामले में, लास्टपास)। से प्राप्त ईमेल पते और पासवर्ड का उपयोग करना अन्य असंबद्ध सेवाओं से संबंधित तृतीय पक्ष उल्लंघन"।
“यह ध्यान रखना महत्वपूर्ण है कि हमारे पास कोई संकेत नहीं है कि खातों को सफलतापूर्वक एक्सेस किया गया है या किसी अनधिकृत पार्टी द्वारा लास्टपास सेवा से समझौता किया गया है। हम नियमित रूप से इस प्रकार की गतिविधि की निगरानी करते हैं और यह सुनिश्चित करने के लिए उपाय करना जारी रखेंगे कि लास्टपास, उसके उपयोगकर्ता और उनका डेटा संरक्षित और सुरक्षित रहे, ”बैक्सो-अल्बाउम ने कहा।
हालांकि, इन चेतावनियों को प्राप्त करने वाले साक्षात्कारकर्ताओं ने कहा कि उनके पासवर्ड लास्टपास के लिए अद्वितीय हैं और कहीं और उपयोग नहीं किया जाता है। कारण कि एक इंटरनेट उपयोगकर्ता ने सोचा "तो उन्हें बिना लास्टपास उल्लंघन के ये अद्वितीय लास्टपास पासवर्ड कैसे मिल गए?" »
जबकि लास्टपास ने इस बारे में कोई विवरण साझा नहीं किया कि इन क्रेडेंशियल स्टफिंग प्रयासों के पीछे दुर्भावनापूर्ण अभिनेता कैसे आगे बढ़े, सुरक्षा शोधकर्ता बॉब डियाचेंको ने कहा कि उन्हें हाल ही में हजारों जानकारी मिली हैं।
कुछ लास्टपास ग्राहक जिन्हें ऐसे कनेक्शन अलर्ट प्राप्त हुए हैं, उन्होंने संकेत दिया है कि उनके ईमेल पते रेडलाइन स्टीलर द्वारा एकत्र किए गए कनेक्शन जोड़े की सूची में नहीं हैं जो डियाचेंको को मिला।
इसके अलावा, उन्होंने स्वयं संकेत दिया कि यह हमले का स्रोत नहीं था:
“ठीक है, मुझे रेडलाइन स्टीलर लॉग में ईमेल की समीक्षा करने के लिए कुछ अनुरोध मिले हैं, और कोई भी नहीं है। उनके पास कोई फाइल नहीं थी. तो जाहिर तौर पर वह हमले का स्रोत नहीं था (दुर्भाग्य से, क्योंकि इससे वेक्टर को समझना आसान हो जाता)।"
इसका मतलब यह है कि, कम से कम इनमें से कुछ रिपोर्टों के मामले में, अधिग्रहण के प्रयासों के पीछे दुर्भावनापूर्ण अभिनेता हैं उन्होंने अपने लक्ष्य से मास्टर पासवर्ड चुराने के लिए अन्य तरीकों का इस्तेमाल किया है।
कुछ ग्राहकों ने यह भी बताया है कि उन्होंने अपना मास्टर पासवर्ड बदल दिया है चूँकि उन्हें लॉगिन चेतावनी मिली है, केवल पासवर्ड बदलने के बाद एक और अलर्ट प्राप्त करने के लिए।
“किसी ने कल सुबह मेरा लास्टपास मास्टर पासवर्ड दर्ज करने का प्रयास किया, और फिर मेरे द्वारा इसे बदलने के कुछ घंटों बाद किसी ने इसे फिर से प्रयास किया। क्या तमाशा चल रहा है ? «
मामले को बदतर बनाने के लिए, जिन ग्राहकों ने इन चेतावनियों को प्राप्त करने के बाद अपने लास्टपास खातों को निष्क्रिय करने और हटाने का प्रयास किया है, वे भी "हटाएं" बटन पर क्लिक करने के बाद "कुछ गलत हो गया" त्रुटि प्राप्त करने की रिपोर्ट करते हैं।
जबकि लास्टपास से समझौता नहीं किया गया है, लास्टपास उपयोगकर्ताओं को अपने खातों की सुरक्षा के लिए बहु-कारक प्रमाणीकरण सक्षम करने के लिए प्रोत्साहित किया जाता है।
अपनी साइट पर, लास्टपास बताते हैं:
“मोबाइल पर वनटैप नोटिफिकेशन, एसएमएस या फिंगरप्रिंट सत्यापन द्वारा भेजे गए कोड के साथ मल्टी-फैक्टर प्रमाणीकरण (एमएफए), उपयोगकर्ता को पहुंच प्रदान करने से पहले उसकी पहचान की पुष्टि करने के लिए सुरक्षा की दूसरी परत प्रदान करता है। एमएफए के साथ, प्रशासक प्रमाणीकरण नीतियां स्थापित कर सकते हैं जो कर्मचारी के समय या काम का उल्लंघन किए बिना सुरक्षा मानकों का पालन करते हैं। लास्टपास एमएफए यह सुनिश्चित करने के लिए पारंपरिक दो-कारक प्रमाणीकरण से आगे जाता है कि सही उपयोगकर्ता सही समय पर सही डेटा तक पहुंच सकें।