Jak uchronić się przed nowym zagrożeniem włamania LastPass

2024 Autor: Malcolm Clapton | [email protected]. Ostatnio zmodyfikowany: 2023-12-17 04:07

Wczoraj odkryto prawdziwy sposób na kradzież danych z popularnego menedżera haseł LastPass. Zalecamy przeczytanie tego artykułu, aby nie wpaść w przynętę.

Korzystamy z wielu usług i aplikacji internetowych, z których każda wymaga innego loginu i hasła ze względów bezpieczeństwa. Nie da się zachować ich wszystkich w głowie, dlatego menedżery haseł są tak rozpowszechnione. Zapewniają niezawodne przechowywanie i wygodne korzystanie z loginów i haseł nie tylko do usług online, ale także do systemów płatności, kont bankowych i tak dalej. Dlatego wyciek lub złamanie takiego menedżera haseł może stać się dużym problemem dla wielu użytkowników.

Jedną z najpopularniejszych aplikacji tego typu jest LastPass. To naprawdę świetne rozwiązanie, które przetrwało próbę czasu i liczne ataki hakerów. Jednak wczoraj specjalista ds. bezpieczeństwa komputerowego Sean Cassidy odkrył możliwość ataku phishingowego na LastPass. Sprytnie nazwał go LostPass (zagubione hasła).

Krótko mówiąc, znaleziona luka wygląda tak. Najpierw atakujący wabi Cię na swoją stronę, która wyświetla fałszywe (!) powiadomienie, że Twoja sesja wygasła i musisz być ponownie zalogowany. Prawdopodobnie widziałeś podobne powiadomienia z LastPass.

Ponieważ powiadomienie jest fałszywe, kliknięcie przycisku Spróbuj ponownie przeniesie Cię na specjalnie spreparowaną stronę, która wygląda dokładnie tak, jak standardowy formularz logowania i hasła LastPass. Będzie miał nawet adres prawie taki sam, jak zwykle mają strony usług przeglądarki otwierane przez zainstalowane rozszerzenia. Z wyjątkiem drobnego szczegółu, który podkreśliłem na zrzucie ekranu. Jestem pewien, że większość użytkowników nie zwróci uwagi na taki drobiazg.

Następnie wpisujesz swoją nazwę użytkownika i hasło na tej stronie, aby zalogować się do LastPass, a one natychmiast wpadają w ręce hakerów. W rezultacie ci ostatni mają pełny dostęp do wszystkich twoich witryn i danych uwierzytelniających. Atak działa, nawet jeśli masz włączone uwierzytelnianie dwuskładnikowe, tylko sekwencja działań hakera będzie o krok dalej. Możesz przeczytać więcej o tym, jak działa LostPass (w języku angielskim).

Oczywiście zastanawiasz się, jak uchronić się przed tym niebezpieczeństwem. Dopóki twórcy LastPass nie podejmą kroków, aby zapobiec takim atakom phishingowym, użytkownicy mogą tymczasowo wyłączyć rozszerzenie przeglądarki tej usługi. Tak, jest to niewygodne i zmusza do ręcznego skopiowania wymaganych haseł ze strony internetowej LastPass. Bardziej radykalną opcją jest znalezienie równoważnej alternatywy dla przechowywania haseł i poufnych danych.

Czy nadal używasz LastPass, czy przeszedłeś na innego menedżera haseł?