LastPass ihlali: Hacker şifreleri çaldı, şirket diyor

Önde gelen şifre yöneticisi hizmetlerinden biri olan LastPass, ağustos ayında sunucularının saldırıya uğradığını duyurmuştu.

Noel tatili boyunca, LastPass tartışıldı gerçekten ne kadar kötü bir sızıntıydı.

Saldırı sırasında, LastPass bir blog gönderisinde, ilk araştırmasının bir bilgisayar korsanının geliştirme ortamına erişim elde etmesine rağmen “bu olayın müşteri verilerine veya şifreli şifre kasalarına erişim içerdiğine dair hiçbir kanıt olmadığını” gösterdiğini söyledi.

Ağustos ayından bu yana, LastPass bu blog için üç güncelleme yaptı. 22 Aralık’ta yayınlanan en son bilgi, olaya karışan bilgisayar korsanının “yedek müşteri kasası verilerine” erişebildiğini ortaya çıkardı.

Blog yazısı, “hem web sitesi URL’leri gibi şifrelenmemiş verileri hem de web sitesi kullanıcı adları ve şifreleri, güvenli notlar ve formla doldurulmuş veriler gibi tamamen şifrelenmiş, hassas alanları” içeriyor.

Bununla birlikte, LastPass’ın gönderisi, bu alanların şifreli kaldığını ve “yalnızca Sıfır Bilgi mimarimiz kullanılarak her kullanıcının ana parolasından türetilen benzersiz bir şifreleme anahtarıyla şifresinin çözülebileceğini” ekliyor.

LastPass kullanıcılarının ana parolaları şirket tarafından saklanmaz veya korunmaz ve şirket tarafından bilinmez.

Bilgisayar korsanları LastPass şifrelerine ve verilerine girebilir mi?

LastPass semboller, sayılar ve büyük harfler içeren en az 12 karakterlik bir ana parola kullansa da, bilgisayar korsanları bir kaba kuvvet saldırısı kullanarak verilere girmeye çalışabilir – yani, kombinasyonları doğru yapana kadar tahmin etmek için yazılım kullanabilir.

LastPass, müşterilerinin ana parolalarına ilişkin varsayılan ayarları kullanmaları halinde, “genel olarak kullanılabilen parola kırma teknolojisini kullanarak ana parolanızı tahmin etmenin milyonlarca yıl süreceğini” söylüyor.

Yine de, Inc’e göre, Müşteriler, LastPass’ı temsil ediyor gibi görünen birinin size parolanızı isteyen bir e-posta gönderdiği kimlik avı saldırılarına karşı dikkatli olmalıdır.

LastPass kullanıcıları ihlal konusunda ne yapmalı?

LastPass’a göre, müşteriler varsayılan ayarları kullanıyorsa “şu anda yapmanız gereken önerilen hiçbir işlem yok”.

Ancak site, varsayılan ayarları kullanmayanların burada saklanan şifreleri değiştirmeyi düşünmeleri gerektiğini de ekliyor.

Kimlik avı saldırılarıyla ilgili olarak LastPass, şifre bilgilerini isteyen kullanıcılara asla e-posta göndermeyeceklerini veya onlarla iletişime geçmeyeceklerini söylüyor.

Şifre yöneticisi nedir?

Parola yöneticisi, çevrimiçi kimlik bilgilerinizi tek bir programda saklar. Bu, kullanıcıların karmaşık parolaları hatırlamak zorunda kalmamalarına ve aynı zamanda söz konusu parolaları karmaşık tutmalarına olanak tanır.

LastPass’ın yanı sıra, daha iyi bilinen parola yöneticilerinden bazıları şunları içerir: 1Şifre, BitWarden, Dashlane ve NordPass.