LastPass รายงานถึงเหตุข้อมูลรั่วจากระบบคลาวด์สตอเรจ ทำให้คนร้ายเข้าถึงข้อมูลสำรองทั้งระบบ โดยเหตุการณ์นี้เกี่ยวเนื่องกับเหตุการณ์เมื่อเดือนสิงหาคมที่ผ่านมา เพราะคนร้ายใช้ข้อมูลที่ได้ไปครั้งนั้นเอาไปเข้าระบบสตอเรจอีกที

ข้อมูลสำรองที่ได้ไป ทำให้คนร้ายข้อมูลไปจำนวนมาก โดยเฉพาะข้อมูลลูกค้า เช่น ชื่อบริษัท, ชื่อผู้ใช้, ที่อยู่เรียกเก็บเงิน, อีเมล, หมายเลขโทรศัพท์, และหมายเลขไอพีที่เข้าใช้งาน รวมถึงตัวฐานข้อมูลรหัสผ่านของลูกค้าเอง ยกเว้นข้อมูลหมายเลขบัตรเครดิตที่ไม่ได้สำรองไว้ในระบบนี้

ตัวฐานข้อมูลรหัสผ่านที่เก็บไว้กับ LastPass นั้นเข้ารหัสด้วย master password ที่ถูกแปลงเป็นกุญแจ AES-256 อีกชั้น ดังนั้นตอนนี้จึงต้องถือว่าคนร้ายได้ไฟล์ฐานข้อมูลไปแล้ว และถ้าตั้ง master password เอาไว้ไม่ดีก็อาจจะถูกคนร้ายไล่เดารหัสผ่านจนหลุดได้ หรือคนร้ายอาจจะพยายามหลอกล่อเหยื่อด้วยวิธีการต่างๆ เพื่อให้เหยื่อยอมบอกรหัสผ่านนี้

ทาง LastPass ระบุว่าผู้ใช้ตั้งแต่ปี 2018 เป็นต้นมาถูกบังคับให้ตั้งรหัสผ่านยาวถึง 12 ตัวอักษร และกุญแจยังสร้างจากฟังก์ชั่น PBKDF2 รันแฮช 100,100 รอบ ทำให้การยิงรหัสผ่านทำได้ยากมาก แต่หากผู้ใช้เป็นบัญชีเดิมที่ตั้งรหัสไว้สั้น หรือใช้ master password ซ้ำกับบริการอื่นๆ ก็ควรเปลี่ยนรหัสผ่านทั้งหมด

ที่มา – LastPass