Újabb jogosulatlan hozzáférésről volt kénytelen beszámolni a LastPass, miután "szokatlan tevékenységre" bukkantak a hálózatban. A történtekről szóló, a cég vezérigazgatója által jegyzett bejegyzés szerint a jelszókezelő alkalmazást kínáló vállalat a külső partnerénél futó felhős tárhelyében fedezett fel jogosulatlan aktivitásra utaló nyomokat. A LastPass az incidens kivizsgálását rögtön megkezdte és ebbe bevonta a Mandiant biztonsági céget is.

A vizsgálatok eredményével kapcsolatban Karim Toubba egyelőre meglehetősen szűkszavúan nyilatkozott. Annyi bizonyos, hogy az érintett tárhelyen nem csak a LastPass, de anyavállalata, a GoTo is osztozott (a magyar gyökerű LogMeIn idén esett át névváltáson). Az is kiderült, hogy a hekkerek az augusztusban történt korábbi biztonsági incidensből származó információk segítségével jutottak be a rendszerbe.

Ami az esetlegesen kompromittálódott adatokat illeti: a nyilatkozat mindössze annyit állít, hogy a bűnözők hozzáférhettek az ügyfélinformációk "bizonyos elemeihez". Maguk a jelszavak azonban minden bizonnyal biztonságban vannak, köszönhetően az alkalmazott titkosítási eljárásnak.

Terhelt múlt

A mostani történések közvetlen előzménye a már fentebb is említett augusztusi betörés volt. Akkor a LastPass rendszereihez négy teljes napig sikerült magas szintű hozzáférést szereznie valaki(k)nek. Ennyi idő bőven elégnek bizonyult olyan kritikus anyagok eltulajdonítására, mint például a jelszómenedzser forráskódjának és technikai információinak részei. A cég a nyári eset kapcsán hangsúlyozta hogy az ügyfelek adatai és a titkosított jelszótárolók érintetlenek maradtak, mivel a hekker vagy hekkerek hozzáférése a fejlesztői környezetre korlátozódott.

Bár idén meglehetősen sűrűn látogatják meg illetéktelenek a vállalat rendszereit, a LastPass történetében korábban is találunk komolyabb biztonsági ügyeket. 2015-ben például szintén kompromittálódott az egyébként a rosszfiúk féken tartásán fáradozó cég rendszere. A támadás következtében hozzáfértek a fiókokhoz tartozó e-mail-címekhez, az autentikációs hashekhez, valamint a jelszó-emlékeztetőkhöz is. A LastPass akkor is leginkább azzal nyugtatta a felhasználóit, hogy biztonsági rendszere – beleértve a titkosítást – elég erős ahhoz, hogy ezekkel az információkkal ne lehessen semmit kezdeni.