LastPass erleidet einen weiteren Verstoß, und dieses Mal sind Kundendaten betroffen

Die im August erlittene Datenpanne bei LastPass ermöglichte es einem Hacker, erneut in das Unternehmen einzudringen und Kundendaten zu stehlen.

Am Mittwoch gab LastPass bekannt, dass es die Verletzung untersucht, bei der es um einen Cloud-Speicherdienst eines Drittanbieters ging, der mit Unternehmenssystemen verbunden war.

„Wir haben festgestellt, dass eine unbefugte Partei unter Verwendung von Informationen, die im August 2022 erhalten wurden, Zugang zu bestimmten Elementen der Informationen unserer Kunden erlangen konnte“, schrieb das Unternehmen in a Blogeintrag(Öffnet in einem neuen Fenster).

Twittern(Öffnet in einem neuen Fenster)

Welche Daten gestohlen wurden, bleibt unklar. Aber LastPass hat gesagt, dass die Passwörter der Kunden seit dem Unternehmen sicher bleiben sollten speichert nicht(Öffnet in einem neuen Fenster) Informationen zum „Master-Passwort“, das Kunden verwenden, um auf die verschlüsselten Passwort-Tresore über die Plattform zuzugreifen.

„Wir arbeiten fleißig daran, den Umfang des Vorfalls zu verstehen und festzustellen, auf welche spezifischen Informationen zugegriffen wurde. In der Zwischenzeit können wir bestätigen, dass die Produkte und Dienste von LastPass voll funktionsfähig bleiben“, sagte das Unternehmen.

Dennoch zeigt der Vorfall, dass die Sicherheitslücke im August bei LastPass schwerwiegender war als ursprünglich angenommen. Damals sagte das Unternehmen, der August-Bruch habe nur seine internen Systeme für die Softwareentwicklung verstrickt – keine Daten über Kundenpasswörter. Dennoch war der Hacker in der Lage, Teile des Quellcodes des Unternehmens und einige proprietäre technische Informationen von LastPass zu stehlen, was wahrscheinlich den Weg für das nachfolgende Eindringen ebnete.

Im September gab LastPass außerdem bekannt, dass es seine Untersuchung des Verstoßes mit Hilfe des Cybersicherheitsunternehmens Mandiant abgeschlossen habe. Die Ergebnisse zeigten, dass der Hacker nur vier Tage lang Zugriff auf die internen Systeme hatte. Es wurden auch keine Hinweise auf Manipulationen gefunden. Aber es scheint, dass LastPass immer noch nicht alle möglichen Möglichkeiten aufgedeckt hat, wie der Hacker den Zugang nutzen könnte, um erneut in das Unternehmen einzudringen.

LastPass hat den Cloud-Speicherdienst eines Drittanbieters nicht genannt, mit dem der Hacker zum zweiten Mal in das Unternehmen eingedrungen ist. Aber LastPass hat den Cloud-Speicherdienst mit seinem Tochterunternehmen GoTo geteilt. Beide Unternehmen befinden sich derzeit im Besitz von Private-Equity-Gesellschaften.

Als Reaktion auf die neue Verletzung hat LastPass zusätzliche Sicherheitsmaßnahmen und eine Überwachung der IT-Infrastruktur des Unternehmens eingeführt. Es hat auch Mandiant und die Strafverfolgungsbehörden kontaktiert, um den Hack zu untersuchen.