Het is criminelen toch gelukt om klantgegevens en data in de wachtwoordkluizen van Lastpass te ontvreemden. De informatie in de kluizen is echter versleuteld en kan enkel aan de client side worden ontsleuteld via het hoofdwachtwoord. Het risico op misbruik is beperkt, zolang de gebruiker een sterk hoofdwachtwoord heeft, deze nergens anders inzet en phishingberichten negeert. Dat meldt Lastpass aan zijn klanten.
Met ruim 25 miljoen gebruikers is Lastpass een van ’s wereld populairste wachtwoordmanagers. Mensen gebruiken de toepassing voor het beheer van digitale inloggegevens en andere gevoelige informatie, zoals creditcardgegevens. Je hoeft slechts één hoofdwachtwoord te onthouden en in te voeren, waarna de tool bij elk inlogscherm dat je bezoekt, de bijbehorende gebruikersnaam en wachtwoorden invult. Deze informatie is versleuteld opgeslagen.
In augustus 2022 was het bedrijf doelwit van een digitale inbraak. Daarbij zouden criminelen via een gecompromitteerde medewerkersaccount toegang hebben gekregen tot een deel van de ontwikkelomgeving en delen van de softwarecode. Volgens de leverancier is de ontwikkelomgeving strikt gescheiden van de productieomgeving en staan beide omgevingen in on-premises datacenters. De data zijn opgeslagen in de cloud.
Klantgegevens en kluizen
In november sloegen de cybercriminelen nogmaals toe, meldt het bedrijf nu. Daarbij maakten ze klantgegevens buit, zoals factuuradressen, mailadressen, telefoonnummers, namen en ip-adressen. Met deze informatie kunnen ze proberen het hoofdwachtwoord te ontcijferen of te bemachtigen door phishing, het om de tuin leiden van gebruikers.
Bovendien bemachtigden ze een back-up van de versleutelde gegevens in de wachtwoordkluizen van gebruikers. Als de criminelen ook het hoofdwachtwoord achterhalen, kunnen ze de gegevens in de back-up ontsleutelen. En dus adviseert Lastpass zijn klanten om alert te zijn op phishing e-mailberichten en telefoonoproepen en het hoofdwachtwoord nooit te delen.
