idNSA.id - Pada bulan Agustus perusahaan perangkat lunak
manajemen kata sandi LastPass mengungkapkan pelanggaran keamanan, pelaku
ancaman memiliki akses ke bagian dari lingkungan pengembangan perusahaan melalui
satu akun pengembang yang disusupi dan mencuri sebagian dari source code dan
beberapa informasi teknis hak milik.
Menanggapi insiden tersebut, perusahaan mengerahkan
langkah-langkah penahanan dan mitigasi dan menerapkan langkah-langkah keamanan
tambahan yang ditingkatkan.
Perusahaan melibatkan firma keamanan dunia maya dan forensik
terkemuka untuk menyelidiki insiden tersebut, pada saat pengungkapan
dikonfirmasi bahwa pelanggaran data tidak membahayakan Kata Sandi Utama
pengguna.
Dalam pembaruan yang diterbitkan pada hari Kamis, perusahaan
mengungkapkan bahwa pelaku ancaman memperoleh informasi pribadi milik pelanggannya,
termasuk brankas kata sandi terenkripsi.
Perusahaan menemukan bahwa pelaku yang tidak dikenal
mengakses lingkungan penyimpanan berbasis cloud yang memanfaatkan informasi
yang diperoleh dari insiden keamanan Agustus. Penyerang menggunakan info yang
diakses untuk menargetkan karyawan lain dan mendapatkan kredensial serta kunci
yang digunakan untuk mengakses dan mendekripsi beberapa volume penyimpanan
dalam layanan penyimpanan berbasis cloud.
Pembaruan menyoroti bahwa layanan penyimpanan cloud yang
diakses oleh pelaku ancaman secara fisik terpisah dari lingkungan produksi.
Setelah memperoleh kunci akses penyimpanan cloud dan kunci
dekripsi wadah penyimpanan ganda, penyerang menyalin informasi dari cadangan
yang berisi informasi dasar akun pelanggan dan metadata terkait. Data yang
disalin meliputi nama perusahaan, nama pengguna akhir, alamat penagihan, alamat
email, nomor telepon, dan alamat IP tempat pelanggan mengakses layanan
LastPass.
Pelaku juga menyalin cadangan data brankas pelanggan dari
wadah penyimpanan terenkripsi yang disimpan dalam format biner berpemilik.
Cadangan berisi data yang tidak terenkripsi (yaitu URL Situs Web) dan sensitif
terenkripsi AES 256-bit (yaitu nama pengguna dan kata sandi situs web, catatan
aman, dan data yang diisi formulir).
“Aktor ancaman juga dapat menyalin cadangan data brankas
pelanggan dari wadah penyimpanan terenkripsi yang disimpan dalam format biner
berpemilik yang berisi data tidak terenkripsi, seperti URL situs web, serta
bidang sensitif yang dienkripsi penuh seperti situs web. nama pengguna dan kata
sandi, catatan aman, dan data yang diisi formulir. membaca pembaruan yang
disediakan oleh perusahaan. “ Bidang terenkripsi ini tetap diamankan dengan
enkripsi AES 256-bit dan hanya dapat didekripsi dengan kunci enkripsi unik yang
berasal dari kata sandi utama setiap pengguna menggunakan arsitektur Zero
Knowledge kami. Sebagai pengingat, kata sandi utama tidak pernah diketahui oleh
LastPass dan tidak disimpan atau dikelola oleh LastPass. Enkripsi dan dekripsi data dilakukan hanya
pada klien LastPass lokal.”
Risiko bagi pelanggan adalah bahwa pelaku ancaman mungkin
mencoba memaksa kata sandi utama mereka dan mendekripsi salinan data vault yang
mereka salin. LastPass menambahkan bahwa metode hashing dan enkripsi yang
digunakan sangat kuat dan sulit bagi penyerang untuk menebak kata sandi utama
bagi pelanggan yang mengikuti praktik
terbaik kata sandi. Ini berarti bahwa pelanggan yang menggunakan kata sandi
yang lemah mungkin berisiko.
LastPass mengonfirmasi bahwa pelaku ancaman tidak mengakses data kartu kredit yang tidak terenkripsi karena tidak menyimpan informasi ini di lingkungan penyimpanan cloud ini.
