Aplikacija za čuvanje lozinki LastPass dičila se sigurnošću, činjenicom da mnogo polažu na zaštitu privatnih, i to najosjetljivijih, podataka svojih korisnika, a potom su sami pali kao žrtve hakerskog napada. Priča je počela protekloga kolovoza, kada su im u jednom incidentu ukradeni dijelovi izvornog koda, a nastavila se krajem prošle godine, kada se doznalo da je netko neovlašteno "vršljao" po njihovim internim sustavima. Sve ovo poprilično je naštetilo ugledu kompanije kojoj je zadaća brinuti se za sigurnost, pa sada pokušavaju popraviti dojam dodatnim transparentnim izvještavanjem o tim incidentima.

Hakirano kućno računalo zaposlenika

Na svojem su blogu objavili rezultate istrage napada, za koji navode da je bio koordiniran i ciljao je na infrastrukturu, resurse i jednog zaposlenika. Potvrđeno je i da je drugi incident povezan s prvim, tj. da su za upad u sustave korištene informacije pribavljene u prvom napadu. Intenzivno je, kažu, napadač nadzirao njihove aktivnosti, pogotovo u pogledu pohrane podataka u oblaku i pokušavao se domoći podataka.

Napad usmjeren na zaposlenike u konačnici je rezultirao kompromitiranjem kućnog računala jednog LastPassovog DevOps inženjera. Napadač je, kažu, iskoristio ranjivost vanjskog medijskog softverskog rješenja, putem kojeg je dobio pristup spomenutom računalu i mogućnost izvršavanja koda na daljinu. Iskoristivši to, na računalo je naselio zloćudni keylogger, a njime potom ukrao inženjerovu glavnu lozinku.

Slijedom toga došao je i do zaposlenikovog glavnog digitalnog trezora – odakle je imao pristup velikoj količini internih podataka, kao što su izvorni kod, backupovi baza podataka, razni podaci pohranjeni u oblaku i tome slično. Zahvaljujući provali u zaposlenikovo računalo, nepoznati je napadač dobio pristup i dekripcijskim ključevima za mnoge kritične podatke s AWS oblaka.

Iz LastPassa navode i mnoge radnje koje su poduzeli nakon otkrića napada, kako bi se umanjila njegova šteta i spriječili daljnji slični napadi, no i u ovom slučaju pokazalo se kako je najnesigurnija karika sigurnosnog lanca – čovjek, makar on bio i DevOps inženjer.