แฮ็ค LastPass ยังคงถูกจำลองต่อไป เกือบหนึ่งปีหลังจากเหตุการณ์ดังกล่าว การสอบสวนพบว่าแฮกเกอร์ใช้ข้อมูลที่ถูกขโมยไปเพื่อเตรียมการปล้นประมาณร้อยรายการโดยมุ่งเป้าไปที่ผู้ถือสกุลเงินดิจิทัล ไม่มีผู้ใช้คนใดที่ดูเหมือนปลอดภัยจากอาชญากรไซเบอร์...
ปีที่แล้วLastPassหนึ่งในผู้จัดการรหัสผ่านที่ได้รับความนิยมมากที่สุดในตลาดได้ถูกลบออกไปแล้วการโจมตีด้วยคอมพิวเตอร์สองครั้ง- ในตอนแรกพวกโจรสลัดเข้ามาพีซีส่วนบุคคลของพนักงานบริษัท- จากนั้นแฮกเกอร์ก็ขโมยข้อมูลประจำตัวทางวิชาชีพของนักพัฒนา
พวกเขาติดอาวุธด้วยสิ่งเหล่านี้ดูดข้อมูลที่ละเอียดอ่อนจำนวนมากเช่น ชื่อผู้ใช้ ที่อยู่สำหรับการเรียกเก็บเงิน อีเมล ที่อยู่ IP และหมายเลขโทรศัพท์ ร้ายแรงยิ่งกว่านั้นผู้โจมตีก็เข้ายึดได้คีย์เข้ารหัสสำรองตู้นิรภัยของผู้ใช้
กล่าวโดยสรุป ผู้ใช้มากกว่า 25 ล้านคนเห็นว่ารหัสผ่านของตนตกไปอยู่ในมือของอาชญากรไซเบอร์ การโจมตีเหล่านี้มีความลึกทำให้ภาพลักษณ์ของ LastPass เสียหายซึ่งพบว่าการสื่อสารไม่ซื่อสัตย์และความปลอดภัยไม่มีประสิทธิภาพและไม่ดี
ตามรอยแฮกเกอร์ LastPass
เมื่อเร็ว ๆ นี้ รายงานโดย Brian Krebs ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ เน้นถึงผลลัพธ์ใหม่ของการแฮ็ก LastPass ตามที่นักวิจัยระบุว่า การแฮ็กและความล้มเหลวที่ชัดเจนของผู้จัดการ ส่งผลให้มีการขโมยเงินดิจิทัลไปเป็นมูลค่า 35 ล้านดอลลาร์
ในช่วงต้นเดือนธันวาคม 2022 เพียงไม่กี่สัปดาห์หลังจากการเปิดเผย LastPass นักวิจัยด้านความปลอดภัยสังเกตเห็นการเพิ่มขึ้นใน“การปล้นสกุลเงินดิจิทัลมูลค่าหกหลักมุ่งเป้าไปที่ผู้คนที่ใส่ใจเรื่องความปลอดภัยในอุตสาหกรรมเทคโนโลยี”- ได้รับความช่วยเหลือจากผู้เชี่ยวชาญคนอื่นๆ Taylor Monahan ผู้จัดการผลิตภัณฑ์ของเมต้ามาสค์ซึ่งเป็นกระเป๋าเงินเข้ารหัสลับที่ได้รับความนิยมอย่างมาก จากนั้นจึงเริ่มดำเนินการสอบสวน เจ้าหน้าที่สืบสวนค้นพบอย่างรวดเร็ว“ชุดดัชนีที่เชื่อถือได้มาก”บ่งชี้ว่าการโจรกรรมเกิดขึ้นได้เนื่องจากข้อบกพร่อง LastPass
ตลอด 48 ชั่วโมงที่ผ่านมา ฉันได้คลี่คลายการดำเนินการระบายกระเป๋าสตางค์ใบใหญ่ 😂😭
ฉันไม่รู้ว่ามันใหญ่แค่ไหน แต่ตั้งแต่เดือนธันวาคม 2565 มันหมดไป 5,000+ ETH และ ??? เป็นโทเค็น / NFT / เหรียญทั่วทั้ง 11+ เชน
มันหมายถึงเพื่อนของฉันและ OG ที่ปลอดภัยพอสมควร
ไม่มีใครรู้วิธีpic.twitter.com/MafntG7RkP
— เทย์ 💖 (@tayvano_)18 เมษายน 2023
มากกว่าเหยื่อ 150 รายถูกระบุ เหล่านี้คือนักลงทุนที่ลงทุนจำนวนมหาศาลในสกุลเงินดิจิทัลมาหลายปีหรือเป็นผู้พัฒนาการเงินแบบกระจายอำนาจ บุคคลเหล่านี้ใช้มาตรการที่เข้มงวดเพื่อปกป้องการลงทุนของตน ในข้อความหลายฉบับที่เผยแพร่บน X Taylor Monahan เน้นย้ำว่าเหยื่อทุกคนมีสุขอนามัยทางดิจิทัลที่ดี ด้วยเหตุนี้กระแสการโจรกรรมจึงทำให้เขาเกิดความกังวล
ตัวส่วนร่วม
ตามที่ผู้จัดการของ Metamask ระบุว่าเหยื่อทั้งหมดมีเก็บคีย์ส่วนตัวไว้ผ่าน LastPass- ด้วยคีย์ส่วนตัวนี้ซึ่งประกอบด้วยอักขระชุดยาว คุณสามารถควบคุมกระเป๋าเงินได้... และโอนเงินทั้งหมดไปยังที่อยู่บล็อกเชนอื่น ๆ กล่าวโดยสรุป มันเป็นประโยชน์อย่างแท้จริงสำหรับโจรสลัด ตามทฤษฎีแล้ว รหัสส่วนตัวจะถูกเข้ารหัสกับการเข้ารหัส AES 256 บิต ดังนั้นจึงไม่มีทางนำไปใช้เพื่อฉ้อโกงผู้ใช้ได้ น่าเสียดายที่แฮกเกอร์สามารถขโมยคีย์เข้ารหัสของบริษัทได้โดยการเข้าไปในพื้นที่เก็บข้อมูลบนคลาวด์ที่ใช้ร่วมกันซึ่งสงวนไว้สำหรับนักพัฒนา LastPass สี่คน ตามที่ผู้เชี่ยวชาญหลายคนกล่าวไว้ สิ่งเดียวที่ต้องทำคือการโจมตีแบบ Brute Force แบบคลาสสิกเพื่อทำลายการเข้ารหัส ด้วยซอฟต์แวร์เฉพาะและคอมพิวเตอร์ที่ทรงพลัง แฮกเกอร์จะทดสอบชุดค่าผสมที่เป็นไปได้ทั้งหมดจนกว่าจะพบผลลัพธ์ที่ถูกต้อง
ในส่วนของ LastPass ยอมรับว่ายังคงเป็นไปได้ที่จะค้นหาชุดตู้นิรภัยที่ปลอดภัยด้วยคีย์เข้ารหัส บริษัทระบุว่างานรออยู่ข้างหน้า“ยากมาก แต่ก็แทบจะเป็นไปไม่ได้เลย” และที่สามารถดำเนินการได้“ความพยายามนับล้านปี”ผู้เชี่ยวชาญจำนวนมาก รวมถึงนักวิจัย Nicholas Weaver และผู้พัฒนา Adblock Plus Wladimir Palant ต่างมองโลกในแง่ดีน้อยลง ที่จริงแล้วทุกอย่างขึ้นอยู่กับความยาวของรหัสผ่านที่เลือก
Mirroring Taylor Monahan, Nick Bax ผู้อำนวยการฝ่ายวิเคราะห์ของไม่มีการเข้ารหัสซึ่งเป็นบริษัทกู้คืนกระเป๋าเงินดิจิตอลเข้ารหัสก็เชื่อว่าเป็น LastPass ที่นำไปสู่การโจรกรรม เขาระบุว่าเขาเป็น“มาถึงข้อสรุปเดียวกัน”พบว่าลายเซ็นเดียว ลายนิ้วมือที่สร้างจากคีย์ส่วนตัวและรายละเอียดธุรกรรม อยู่เบื้องหลังการถ่ายโอนที่ฉ้อโกงทั้งหมด
หากคุณเก็บคีย์ส่วนตัวของคุณไว้ใน LastPass คุณจะต้องดำเนินการฉุกเฉิน Nick Bax อธิบายว่าเขากระตุ้นคนที่เขารัก“เพื่อเปลี่ยนรหัสผ่านทั้งหมดและย้าย crypto ใด ๆ ที่อาจถูกเปิดเผย”แม้ว่าเขา“รู้ดีว่ามันน่าเบื่อแค่ไหน”-
LastPass ได้รับการติดต่อจาก Brian Krebs ชี้ให้เห็นว่าการสอบสวนการโจมตีเมื่อปีที่แล้วยังอยู่ระหว่างดำเนินการโดยตำรวจ ผู้จัดการอ้างว่าได้สื่อสารข้อมูลจำนวนมหาศาลแก่ผู้สืบสวนเพื่อช่วยเหลือพวกเขา“เพื่อระบุผู้รับผิดชอบ”-
🔴 เพื่อไม่ให้พลาดข่าวสารจาก 01net ติดตามเราได้ที่Google ข่าวสารetวอทส์แอพพ์-
แหล่งที่มา : KrebsOnSecurity
