Nell’agosto del 2022, il team di LastPass, il popolare software per la gestione delle password utilizzato da oltre 30 milioni di persone e da oltre 100 mila aziende, aveva emesso un avviso di sicurezza comunicando la violazione da parte di hackers di uno degli account sviluppatore, e che quindi avevano ottenuto l’accesso all’ambiente di sviluppo, rubando del codice sorgente ma senza intaccare i dati degli utenti.
Nonostante le dichiarazioni di LastPass riguardanti l’implementazione di protezioni e misure di contenimento e mitigazione, nonché la collaborazione con un team specializzato di sicurezza informatica e le successive indagini riguardanti il presunto attacco, gli hacker sono tornati all’attacco ed è stata individuata un’altra violazione.
A riportarlo è il sito di LastPass stesso attraverso un post nella newsletter ufficiale pubblicato dal CEO Karim Toubba, il quale ha confermato un nuovo attacco al servizio sul quale si sta indagando. I dati trafugati nel precedente attacco sono stati utilizzati per far breccia nel sistema.
LastPass tranquillizza: le password sono rimaste al sicuro
L’attacco ha interessato uno dei servizi di archiviazione cloud di terze parti utilizzato sia da LastPass che da GoTo, altra azienda informatica sulla fornitura di software e strumenti di lavoro remoto, e in merito il team del gestore di password ha prontamente segnalato l’accaduto alle forze dell’ordine e avviato un indagine coinvolgendo Mandiant, azienda leader nell’ambito della sicurezza informatica.
LastPass non ha fornito informazioni dettagliate riguardo l’attacco o su come gli aggressori abbiano potuto compromettere l’account sviluppatore. Tuttavia ha fornito una ricostruzione secondo la quale qualcuno di non autorizzato è stato in grado di accedere ad alcune informazioni dei loro clienti.
La portata dell’incidente non è ancora chiara, e si sta indagando per capire quali di queste informazioni siano state rubate durante l’attacco. LastPass vuole però rasserenare i propri clienti comunicando che nessuna password è stata compromessa, in quanto ancora crittografata in modo sicuro tramite l’architettura Zero Knowledge utilizzata dal servizio.
