Менеджер паролів LastPass повідомив про витік даних клієнтів

Розробник менеджера паролів LastPass повідомив клієнтів про викрадення їхніх персональних даних і записів звернень до служби підтримки внаслідок зламу одного з технологічних партнерів компанії.

Про це пише TechCrunch із посиланням на офіційну заяву компанії.

Де стався злам

Компанія стверджує, що злам стався не в її інфраструктурі, а в системах дослідницької компанії Klue. Водночас зловмисники використали отриманий доступ для викрадення значного обсягу інформації про клієнтів LastPass.

Klue повідомила про злам ще минулого тижня. Окрім LastPass постраждали низка компаній у сфері кібербезпеки, зокрема HackerOne, Recorded Future та Tanium.

Повідомляється, що хакери викрали імена клієнтів LastPass, номери телефонів, адреси електронної пошти та фізичні адреси, а також дані звернень до служби підтримки й інформацію, пов’язану з продажами. Компанія наголосила, що її власна інфраструктура не постраждала, тож сховища паролів лишились недоторканими.

Невідомо, які саме дані містилися у викрадених зверненнях до служби підтримки. Водночас записи подекуди можуть містити фрагменти конфіденційної або чутливої інформації (зокрема облікові дані та документи, що посвідчують особу), оскільки користувачі часто звертаються до підтримки через проблеми з оплатою або для відновлення доступу до своїх акаунтів.

Станом на 2024 рік LastPass мав понад 33 млн користувачів та близько 1,6 млн платних клієнтів.

Витік даних у 2022 році

У 2022 році компанія уже пережила масштабний витік даних. Тоді хакери викрали всю базу сховищ користувачів, де зберігалися паролі, токени, а також інші персональні й платіжні дані. Хоча сховища були зашифровані паролями, відомими лише власникам акаунтів, зловмисники могли розшифровувати деякі з тих, що використовували слабкі шифри. Пізніше з витоком пов’язали низку крадіжок криптовалют.

Генеральний директор Klue Джейсон Сміт заявив у блозі, що компанія виявила хакерів у своїх системах 12 червня. Відповідальність за злам взяла на себе група Icarus, яка публічно погрожувала оприлюднити викрадені дані, якщо викуп не буде сплачено.