최근에 많은 LastPass 사용자는 마스터 암호가 손상되었다고 보고했습니다. 누군가가 알 수 없는 위치에서 자신의 계정에 로그인을 시도했다는 이메일 경고를 받은 후.
라스 이메일 알림 그들은 또한 다음과 같은 이유로 연결 시도가 차단되었다고 언급합니다. 그들은 세계의 알려지지 않은 위치에서 만들어졌습니다.
로그인 경고는 "누군가가 귀하의 마스터 비밀번호를 사용하여 인식할 수 없는 장치나 위치에서 귀하의 계정에 로그인을 시도했습니다."라고 경고합니다. “LastPass가 이 시도를 차단했지만 자세히 살펴봐야 합니다. 너였어? «
침해된 LastPass 마스터 암호에 대한 보고는 Twitter를 포함한 다양한 소셜 미디어 사이트와 온라인 플랫폼을 통해 배포됩니다.
대부분의 보고서 오래된 LastPass 계정을 가진 사용자로부터 온 것 같습니다. 이는 그들이 얼마 동안 서비스를 사용하지 않았고 비밀번호를 변경하지 않았음을 의미합니다. 당시의 가정 중 하나는 사용된 마스터 비밀번호 목록이 이전 해킹에서 나온 것일 수 있다는 것이었습니다.
일부 사용자는 비밀번호를 변경해도 도움이 되지 않는다고 주장하고 한 사용자는 비밀번호가 변경될 때마다 다양한 위치에서 새로운 로그인 시도를 볼 수 있다고 주장했습니다.
LastPass는 로그인 시도를 차단했다는 최근 보고서를 조사했으며 해당 활동이 악의적인 행위자 또는 행위자가 사용자 계정(이 경우 LastPass)에 액세스하려고 하는 상당히 일반적인 봇 활동과 관련이 있음을 확인했습니다. 기타 비제휴 서비스와 관련된 제XNUMX자 위반 행위”.
“계정이 성공적으로 액세스되었거나 LastPass 서비스가 승인되지 않은 당사자에 의해 손상되었다는 징후가 없다는 점에 유의하는 것이 중요합니다. 우리는 이러한 유형의 활동을 정기적으로 모니터링하고 LastPass, 사용자 및 데이터가 보호되고 안전하게 유지되도록 설계된 조치를 계속 취할 것입니다.”라고 Bacso-Albaum이 덧붙였습니다.
그러나 이러한 경고를 받은 인터뷰 대상 사용자는 비밀번호가 LastPass에 고유하다고 말했습니다. 다른 곳에서는 사용되지 않습니다. 이것이 한 인터넷 사용자가 "LastPass 위반 없이 어떻게 이러한 고유한 LastPass 암호를 얻었습니까?"라고 궁금해한 이유입니다. »
LastPass는 이러한 크리덴셜 스터핑 시도 배후의 악의적인 행위자가 어떻게 진행되었는지에 대한 세부 정보를 공유하지 않았지만 보안 연구원인 Bob Diachenko는 최근 수천 개의 정보를 발견했다고 말했습니다.
이러한 연결 알림을 받은 일부 LastPass 고객은 자신의 이메일이 Diachenko가 찾은 RedLine Stealer가 수집한 연결 쌍 목록에 없다고 밝혔습니다.
또한 그는 이것이 공격의 근원이 아니라고 밝혔습니다.
“알겠습니다. RedLine Stealer 로그에서 이메일을 확인하라는 몇 가지 요청을 받았지만 아무 것도 없었습니다. 그는 기록에 아무 것도 없었다. 따라서 분명히 그것이 공격의 소스가 아니었습니다(불행히도 그렇게 하면 벡터를 더 쉽게 이해할 수 있기 때문입니다).
이는 최소한 이러한 보고 중 일부의 경우 인수 시도 배후의 악의적인 행위자가 그들은 다른 수단을 사용하여 대상에서 마스터 암호를 훔쳤습니다.
일부 고객은 마스터 비밀번호를 변경했다고 보고했습니다. 로그인 경고를 받았기 때문에, 비밀번호가 변경된 후에만 다른 경고를 수신합니다.
“어제 누군가 내 LastPass 마스터 비밀번호를 입력하려고 했고, 내가 변경한 지 몇 시간 후에 누군가 다시 시도했습니다. 도대체 무슨 일이야? «
설상가상으로 이러한 경고를 받은 후 자신의 LastPass 계정을 비활성화 및 삭제하려고 시도한 고객은 "삭제" 버튼을 클릭한 후 "문제가 발생했습니다" 오류가 발생한 것으로 보고합니다.
LastPass가 손상되지는 않았지만 LastPass 사용자는 계정을 보호하기 위해 다단계 인증을 활성화하는 것이 좋습니다.
사이트에서 LastPass는 다음과 같이 설명합니다.
“모바일에서 원터치 알림(OneTap), SMS 또는 지문 인증으로 코드를 전송하는 다중 요소 인증(MFA)은 액세스 권한을 부여하기 전에 사용자의 신원을 확인하는 두 번째 보안 계층을 제공합니다. MFA를 통해 관리자는 직원의 시간이나 업무를 침해하지 않으면서 보안 표준을 준수하는 인증 정책을 제정할 수 있습니다. LastPass MFA는 전통적인 XNUMX단계 인증을 넘어 올바른 사용자가 적시에 올바른 데이터에 액세스할 수 있도록 합니다.