Το LastPass λέει ότι ο εισβολέας πίσω από την παραβίαση ασφαλείας του Αυγούστου είχε εσωτερική πρόσβαση στα συστήματα της εταιρείας για τέσσερις ημέρες έως ότου εντοπίστηκαν και εκδιώχθηκαν.
Σε μια ενημέρωση στην ειδοποίηση περιστατικού ασφαλείας που δημοσιεύθηκε τον περασμένο μήνα, ο Διευθύνων Σύμβουλος της Lastpass Karim Toubba είπε επίσης ότι η έρευνα της εταιρείας (που πραγματοποιήθηκε σε συνεργασία με την εταιρεία κυβερνοασφάλειας Mandiant) δεν βρήκε στοιχεία ότι ο παράγοντας απειλής είχε πρόσβαση σε δεδομένα πελατών ή κρυπτογραφημένα θησαυροφυλάκια κωδικών πρόσβασης.
“Παρόλο που ο παράγοντας απειλής μπόρεσε να αποκτήσει πρόσβαση στο περιβάλλον Ανάπτυξης, ο σχεδιασμός και οι έλεγχοι του συστήματός μας εμπόδισαν τον παράγοντα απειλής να έχει πρόσβαση σε δεδομένα πελατών ή κρυπτογραφημένα θησαυροφυλάκια κωδικών πρόσβασης”, είπε ο.
Ενώ η μέθοδος μέσω της οποίας ο εισβολέας μπόρεσε να παραβιάσει το τελικό σημείο ενός προγραμματιστή του Lastpass για πρόσβαση στο περιβάλλον ανάπτυξης, η έρευνα διαπίστωσε ότι ο παράγοντας απειλής μπόρεσε να υποδυθεί τον προγραμματιστή αφού “είχε επιτυχώς ελέγξει την ταυτότητα χρησιμοποιώντας έλεγχο ταυτότητας πολλαπλών παραγόντων”.
Μετά την ανάλυση του πηγαίου κώδικα και των εκδόσεων παραγωγής, η εταιρεία δεν βρήκε επίσης στοιχεία ότι ο εισβολέας προσπάθησε να εισαγάγει κακόβουλο κώδικα.
Αυτό είναι πιθανό επειδή μόνο η ομάδα Build Release μπορεί να προωθήσει τον κώδικα από την Ανάπτυξη στην Παραγωγή και ακόμη και τότε, ο Toubba είπε ότι η διαδικασία περιλαμβάνει στάδια αναθεώρησης κώδικα, δοκιμών και επικύρωσης.
Επιπλέον, πρόσθεσε ότι το περιβάλλον LastPass Development είναι «φυσικά διαχωρισμένο από το περιβάλλον παραγωγής του Lastpass και δεν έχει άμεση σύνδεση με αυτό.
Μετά το περιστατικό, το Lastpass «ανάπτυξε βελτιωμένους ελέγχους ασφαλείας, συμπεριλαμβανομένων πρόσθετων ελέγχων ασφάλειας τερματικού σημείου και παρακολούθησης», καθώς και πρόσθετες δυνατότητες πληροφοριών απειλών και βελτιωμένες τεχνολογίες ανίχνευσης και πρόληψης τόσο σε περιβάλλοντα ανάπτυξης όσο και σε περιβάλλοντα παραγωγής.
