Martin Brinkmann 29.12.2021 Sicherheit| 0
Einige Benutzer des LastPass-Passwort-Managers gaben diese Woche bekannt, dass sie E-Mails von LastPass erhalten haben, die besagen, dass Anmeldungen zu ihren Konten mit dem Master-Passwort des Kontos blockiert wurden. Der erste dieser Berichte wurde in Hacker News veröffentlicht.
Die gesendeten E-Mails out by LastPass geben an, dass LastPass einen Anmeldeversuch blockiert hat. Im Fall des Threadstarters kam der Login-Versuch aus Brasilien.
Login-Versuch blockiert
WERBUNG
Hallo,
Jemand hat gerade Ihr Master-Passwort verwendet, um sich von einem Gerät oder Standort aus, das wir nicht kennen, bei Ihrem Konto anzumelden. LastPass hat diesen Versuch blockiert, aber Sie sollten es sich genauer ansehen.
Die E-Mails sind legitime E-Mails von LastPass, keine Phishing-E-Mails. Den Angreifern gelang es, an das Master-Passwort des Kunden zu gelangen. Es ist unklar, wie es den Angreifern gelungen ist, an die Daten zu gelangen. Mögliche Möglichkeiten sind Malware, die auf Benutzersystemen ausgeführt wird, alte Daten von früheren Sicherheitsverletzungen, Daten, die in anderen manipulierten Online-Konten verwendet wurden, oder ein neues Sicherheitsproblem.
WERBUNG
Bleeping Computer veröffentlichte einen Kommentar von LogMeIn Global PR/AR Senior Director Nikolett Bacso-Albaum, der darauf hindeutet, dass die Daten von Verstößen Dritter stammen und die Angriffe von Bots ausgehen.
< p>LastPass hat die jüngsten Berichte über blockierte Anmeldeversuche untersucht und festgestellt, dass die Aktivität mit ziemlich häufigen Bot-bezogenen Aktivitäten zusammenhängt, bei denen ein böswilliger oder bösartiger Akteur versucht, auf Benutzerkonten (in diesem Fall LastPass) mit E-Mail-Adressen und Passwörtern zuzugreifen, die von Dritten erhalten wurden. Verstöße anderer Parteien im Zusammenhang mit anderen nicht angeschlossenen Diensten.
LastPass hat laut der Antwort keine Hinweise darauf, dass auf Konten erfolgreich zugegriffen oder sein Dienst kompromittiert wurde.
WERBUNG
Einige der Benutzer, die das Problem online gemeldet haben, gaben an, dass ihre Master-Passwörter einzigartig sind und nicht an anderer Stelle verwendet werden Management-Service; Kunden können sich online anmelden, um mit einem Master-Passwort auf ihr Konto zuzugreifen. Optionen zum Schutz der Konten mit Zwei-Faktor-Authentifizierung sind ebenfalls verfügbar.
LastPass-Kunden möchten möglicherweise eine Zwei-Faktor-Authentifizierung zu ihren Konten hinzufügen, um sie besser vor unbefugten Anmeldeversuchen zu schützen. Das Ändern des Master-Passworts kann auch eine Option sein, jedoch nur, wenn das Leck von einer Drittanbieterquelle und nicht direkt von LastPass stammt.
Online-Passwortmanager bieten komfortable Optionen zum Synchronisieren von Passwörtern auf allen Geräten, aber sie fügen hinzu ein weiterer Angriffsvektor im Vergleich zu lokalen Passwort-Manager-Lösungen wie KeePass.
Jetzt: Verwenden Sie einen Online-Passwort-Manager oder einen lokalen? (über Born)
WERBUNG