Maor_Winetrob/Shutterstock.comLastPass befasst sich immer noch mit der Datenschutzverletzung des letzten Jahres, bei der die persönlichen Daten und Passwörter einiger Kunden offengelegt wurden. Aber neue Informationen zu dieser Geschichte erinnern uns daran, warum jeder Computerbenutzer und jedes Unternehmen Sicherheit ernst nehmen muss.
Am 28. Februar erklärte LastPass schließlich, wie es zu der Datenschutzverletzung kam. Ein Hacker zielte zunächst auf “verwundbare Mediensoftware von Drittanbietern” auf dem privaten Heimcomputer eines DevOps-Ingenieurs einen Keylogger installieren, um das Master-Passwort des Mitarbeiters zu erfassen. Dieser DevOp ist zufällig einer von vier LastPass-Mitarbeitern, die auf den Unternehmenstresor zugreifen können, daher kann man davon ausgehen, dass es sich um einen gezielten Hack handelte.
Ja, der Mitarbeiter, auf den dieser Hack abzielte, besaß eine Firmen-Laptop (der inzwischen ersetzt wurde). Einige Berichte besagen, dass der Mitarbeiter seinen PC verwendet hat, um auf Arbeitsressourcen zuzugreifen, obwohl dies von LastPass nicht bestätigt wurde.
Hier ist das Interessante; die “anfällige Mediensoftware von Drittanbietern” In diesem Hack wurde Plex ausgenutzt. Erste Nachrichten über die Beteiligung von Plex kamen mit freundlicher Genehmigung von Leakern (über Ars Technica), wurden aber später von Plex am 1. März bestätigt.
Als der Ars Technica-Bericht herauskam, sagte Plex, dass es nicht von LastPass kontaktiert worden sei. Aber die Dinge haben sich geändert – LastPass teilt Plex mit, dass die ausgenutzte Schwachstelle CVE-2020-5741 war. Plex teilt Review Geek mit, dass dieser Exploit im Mai 2020 offengelegt und gepatcht wurde, mindestens 2,5 Jahre vor der LastPass-Verletzung.
Offensichtlich hat der angegriffene LastPass-Mitarbeiter es versäumt, seinen Plex-Server mindestens zwei Jahre lang zu aktualisieren. Es gab fast 75 Plex-Updates, seit der CVE-2020-5741-Exploit gepatcht wurde. Dies ist ein schwerwiegendes Versagen sowohl der persönlichen als auch der Unternehmenssicherheit; Wie Plex anmerkt, werden Update-Benachrichtigungen “über die Admin-Benutzeroberfläche” und automatische Updates sind weit verbreitet.
VERWANDTEWarum Sie alte Überspannungsschutzgeräte ersetzen sollten
Aber in gewisser Weise ist dieses Scheitern irgendwie verständlich. Einige Plex-Updates müssen manuell durchgeführt werden, und wie jeder Plex-Benutzer weiß, können diese Updates zu Problemen führen oder Sie dazu zwingen, einige der Metadaten Ihrer Medienbibliothek zu wiederholen. Der von diesem Hack betroffene LastPass-Mitarbeiter hat möglicherweise nicht erkannt, dass ein Update manuell installiert werden musste (obwohl es möglich ist, dass er das Update absichtlich vermieden hat).
Nehmen Sie dies als Lektion; Jeder Teil eines Netzwerks kann Ihre Sicherheit oder sogar die Sicherheit anderer gefährden. Sie müssen Produkte auf dem neuesten Stand halten, und wenn ein Gerät in Ihrem Haushalt unter einem ungepatchten Exploit leidet, sollten Sie es offline nehmen. (Außerdem muss Plex seinen Aktualisierungsprozess verbessern. Ich weiß das aus Erfahrung.)
Leider wissen Technologiekonzerne nicht, wie sie mit gutem Beispiel vorangehen sollen. LastPass trägt hier die Verantwortung, und es hat eine Erfolgsbilanz, die beweist, dass es Sicherheit nicht ernst nehmen kann. Wir haben LastPass um einen Kommentar gebeten und warten auf eine Antwort.
The 5 Best Password Managers of 2023
Best Overall Password Manager 1Password Shop Best Premium Password Manager Dashlane Shop Best Free Password Manager Bitwarden Shop Best Budget Password Manager Keeper Shop Best Local Storage Password Manager Enpass Shop
Source: LastPass, Plex