LastPass попереджає користувачів про черговий витік даних — через партнера

Витік у постачальника послуг

LastPass надсилає листи користувачам, яких торкнувся інцидент безпеки в компанії Klue, що займається маркетинговими дослідженнями і є одним із зовнішніх партнерів менеджера паролів. Унаслідок інциденту хакери отримали доступ до інформації про клієнтів і даних звернень до служби підтримки.

Платформа Klue інтегрована із системами Salesforce і Gong, що розширило обсяг даних, до яких могли дістатися зловмисники. LastPass заявляє, що власні сховища паролів не постраждали.

Що саме розкрито

У блозі LastPass зазначає, що доступ обмежився стандартною бізнес-контактною інформацією та пов’язаними з нею даними CRM — іменами клієнтів, номерами телефонів, електронними й фізичними адресами — а також даними звернень до підтримки та даними, пов’язаними з продажами.

Реакція компанії

За словами LastPass, щойно стало відомо про інцидент, компанія скасувала доступ співробітників до Klue, замінила скомпрометовані API-токени, повідомила правоохоронні органи та розпочала детальне розслідування масштабів події разом із контактами в Klue і Salesforce.

Користувачам радять бути пильними щодо фішингу та соціальної інженерії, які можуть використати скомпрометовані дані. Компанія також оприлюднила IP-адреси та домени відправників, пов’язані з атакувальниками — 138.226.246[.]94, 94.154.32[.]160, 159.183.215[.]61 і 159.183.181[.]239, а також домени baccarat.com[.]au, robinskitchen.com[.]au і house.com[.]au, — щоб інші організації могли пошукати відповідну активність у власних системах.

Це не перший інцидент

Цей витік — найновіший у низці інцидентів безпеки LastPass. 2015 року хакери отримали адреси електронної пошти акаунтів, нагадування про паролі, хеші автентифікації та криптографічні солі, хоча, за словами компанії, до зашифрованих сховищ доступу не було. 2022 року зловмисник скомпрометував акаунт розробника й викрав вихідний код і технічну інформацію, а потім використав це для доступу до хмарних резервних копій із записами клієнтів і зашифрованими сховищами паролів, а також незашифрованими іменами, платіжними адресами, електронними адресами й телефонами.