LastPass 今天透露，攻击者在今年早些时候使用 2022 年 8 月事件中窃取的信息破坏了其云存储后，窃取了客户保险库数据。
此前，该公司首席执行官卡里姆·图巴 (Karim Toubba) 上个月发布了最新更新，仅表示威胁行为者获得了对客户信息“某些元素”的访问权限。
今天，Toubba 补充说，LastPass 使用云存储服务来存储生产数据的存档备份。
攻击者使用从其开发者环境中窃取的“云存储访问密钥和双存储容器解密密钥”获得了对 Lastpass 云存储的访问权限。
“威胁行为者从备份中复制了包含基本客户帐户信息和相关元数据的信息，包括公司名称、最终用户名称、账单地址、电子邮件地址、电话号码以及客户访问 LastPass 服务的 IP 地址，”Toubba今天说。
“威胁行为者还能够从加密存储容器中复制客户保险库数据的备份，该存储容器以专有二进制格式存储，其中包含未加密数据（例如网站 URL）以及完全加密的敏感字段（例如网站）用户名和密码、安全笔记和填写表格的数据。”
一些被盗的金库数据被“安全加密”
幸运的是，加密数据采用 256 位 AES 加密，只能使用从每个用户的主密码派生的唯一加密密钥进行解密。
根据 Toubba 的说法，LastPass 永远不知道主密码，它不会存储在 Lastpass 的系统中，LastPass 也不会维护它。
客户还被警告说，攻击者可能会试图暴力破解他们的主密码来访问被盗的加密保险库数据。
但是，如果您一直遵循LastPass 推荐的密码最佳实践，这将非常困难且耗时。
如果你这样做，“使用普遍可用的密码破解技术猜测你的主密码需要数百万年，”Toubba补充道。
“您的敏感保险库数据，如用户名和密码、安全笔记、附件和表单填写字段，将根据 LastPass 的零知识架构保持安全加密。”
一年内两次违规
云存储漏洞是该公司自今年年初以来披露的第二起安全事件，此前该公司在 8 月份确认其开发者环境因使用受损的开发者帐户而遭到破坏。
Lastpass 在 BleepingComputer 联系但没有收到任何关于可能的违规问题的回复后发布了 8 月份的咨询。
在发送给客户的电子邮件中，Lastpass 确认攻击者从其系统中窃取了专有技术信息和源代码。
在后续更新中，该公司还透露，8 月漏洞背后的攻击者保持对其系统的内部访问四天，直到被驱逐。
LastPass 表示，其密码管理软件正被全球超过 3300 万人和 100,000 家企业使用。
转载请注明：VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » Lastpass：黑客在云存储漏洞中窃取了客户保险库数据
