LastPassは、マスターパスワードが侵害された可能性があるという主張を否定

LastPass メンバーは、さまざまな場所から正しいマスターパスワードを使用して複数回ログインが試行されたと報告していますが、同社は最近の攻撃は他のサービスの侵害から収集された共有パスワードの結果である、またはおそらく誤って送信された警告であると交互に述べています。

複数のユーザーがハッカーニュースフォーラム共有しましたLastPass のマスターパスワードが侵害されているようです。パスワードがどのように流出したのかは不明ですが、ユーザーの間にあるパターンが現れています。

報告の大部分は、古い LastPass アカウントを持つユーザーからのものであるようです。つまり、ユーザーはしばらくサービスを使用しておらず、パスワードも変更していません。これは、使用されているマスターパスワードリストが以前のハッキングによって取得された可能性があることを示しています。

一部のユーザーはパスワードを変更しても効果がなかったと主張しており、あるユーザーはパスワードを変更するたびにさまざまな場所から新たなログイン試行が行われたと主張しています。パスワード漏洩の深刻度や、LastPass が現在攻撃を受けているかどうかは不明です。

LastPass が返信しましたAppleInsiderさんからの詳しい情報のリクエスト。

「LastPass は、ログイン試行がブロックされたという最近の報告を調査しました。その活動は、悪意のあるまたは悪意のある攻撃者が、次から取得した電子メールアドレスとパスワードを使用してユーザーアカウント (この場合は LastPass) にアクセスしようとする「クレデンシャルスタッフィング」活動の試みに関連していると考えています。他の無関係のサービスに関連した第三者による侵害です」と LastPass の広報担当者 Meghan Larson 氏は語った。「現時点で、アカウントが正常にアクセスされたという兆候や、LastPass サービスが不正な当事者によって侵害されたという兆候はないことに注意することが重要です。当社はこの種のアクティビティを定期的に監視しており、今後も計画された措置を講じていきます」 LastPass、そのユーザー、およびそのデータが確実に保護され、安全に保たれるようにするためです。」

LasPass の保管庫に侵入しようとする何らかの組織的な取り組みが存在することが確認できます。公開以来、世界中の読者や同僚からログイン試行について確認を受けてきました。

友人に注意してください。LastPass パスワードマネージャーは現時点では安全ではありません。私たちが話している間にも、マスターパスワードを使用してすべてのデータをハイジャックしようとする動きがあります。
— ぞdttd (@zodttd)2021年12月28日

一晩、LastPass が提供されるAppleInsiderこの問題に関する別の声明とともに。

「前述したように、LastPass は、ユーザーがログイン試行がブロックされたことを警告する電子メールを受信したという最近の報告を認識しており、調査を行っています。

「私たちはこの活動の調査に迅速に取り組みましたが、現時点では、この認証情報スタッフィングの結果として LastPass アカウントが不正なサードパーティによって侵害されたという兆候はなく、ユーザーの LastPass 認証情報がマルウェアによって収集されたという兆候も見つかりませんでした」、不正なブラウザ拡張機能またはフィッシングキャンペーン。
しかし、私たちは細心の注意を払い、システムから自動セキュリティ警告電子メールが送信される原因を特定するために調査を続けました。
その後の調査により、LastPass ユーザーの限られたサブセットに送信されたこれらのセキュリティアラートの一部は、誤ってトリガーされた可能性があることが判明しました。その結果、セキュリティ警告システムを調整し、この問題は解決されました。
これらのアラートは、LastPass が顧客を悪意のある行為や Credential Stuffing の試みから守るための継続的な取り組みによってトリガーされたものです。 LastPass のゼロ知識セキュリティモデルは、LastPass がユーザーのマスターパスワードを保存したり、認識したり、アクセスしたりすることは決してないことを意味することを繰り返し説明することも重要です。
私たちは今後も異常なアクティビティや悪意のあるアクティビティを定期的に監視し、必要に応じて、LastPass、そのユーザー、およびそのデータが確実に保護され安全に保たれるように設計された措置を講じ続けます。」

AppleInsiderでは、ユーザーがパスワードを変更し、2 要素認証を有効にし、不審なログイン試行に注意することを推奨しています。サービスからパスワードを削除するオプションもあります。1Password への移行または Apple の iCloud キーチェーン。

LastPass は、デスクトップとモバイルデバイスで利用できる無料のパスワードマネージャーです。 Android バージョンのアプリとそのアプリにはセキュリティ上の懸念があります。トラッカーの使用。

更新 12/28 午前 11:34 (東部標準時): LastPass リポジトリに侵入する組織的な取り組みに関するレポートを追加して更新されました。

更新 12/28 午後 12:10 (東部標準時間): LastPass からの声明で更新されました。

更新 12/29 午前 6:29 (東部標準時間): LassPass からの別の声明で更新されました。