Vụ Rò Rỉ Dữ Liệu LastPass 2022 và Hậu Quả Nghiêm Trọng

Vụ Rò Rỉ Dữ Liệu LastPass 2022 Đã Xảy Ra Như Thế Nào?

Nếu bạn quan tâm đến việc bảo vệ các tài khoản trực tuyến của mình, việc sử dụng công cụ quản lý mật khẩu là điều cần thiết. Thay vì phải nhớ các mật khẩu mạnh hoặc sử dụng lại cùng một mật khẩu cho mọi thứ (điều này chúng tôi khuyên bạn không nên làm), công cụ quản lý mật khẩu sẽ tạo ra các thông tin đăng nhập cho bạn và lưu trữ chúng trong một kho lưu trữ trực tuyến được mã hóa.

Với một công cụ quản lý mật khẩu tốt, bạn có thể mở khóa kho lưu trữ của mình bằng một mật khẩu chính, cho phép công cụ sử dụng một bộ thông tin đăng nhập cụ thể cho từng trang web để đăng nhập.

Khi bạn dựa vào một công cụ quản lý mật khẩu, bạn đang giao phó cho nó email, ngân hàng trực tuyến, chương trình thưởng của cửa hàng, và cả ví tiền điện tử của bạn.

Tin tặc đã xâm nhập vào LastPass vào tháng 8 năm 2022, và mặc dù có nhiều lời trấn an từ công ty trong suốt nhiều tháng, đến tháng 12 năm 2022, LastPass đã thừa nhận rằng dữ liệu cá nhân của người dùng cùng với các kho lưu trữ mật khẩu đã bị đánh cắp. Vào thời điểm đó, Tạp Chí Mobile bắt đầu nhận được email từ khách hàng của LastPass khiếu nại rằng tội phạm đang sử dụng thông tin đăng nhập của họ.

Mặc dù có những suy đoán trên mạng và các báo cáo chưa được xác thực rằng tội phạm có thể phá vỡ các kho lưu trữ mật khẩu đã tải xuống, LastPass vẫn tiếp tục trấn an khách hàng với các tuyên bố rằng việc phá vỡ mật khẩu chính sẽ mất hàng triệu năm.

Tuy nhiên, giống như các tuyên bố trước đây của LastPass, hiện nay có thông tin cho thấy điều này có thể không hoàn toàn đúng, và một loạt các giao dịch đáng ngờ cho thấy dữ liệu từ các kho lưu trữ của LastPass đang được sử dụng để đánh cắp tài sản kỹ thuật số.

Tội Phạm Sử Dụng Thông Tin Đăng Nhập Bị Đánh Cắp Từ LastPass Như Thế Nào?

Các đồng tiền điện tử vàng trên nền đá đen

Để đăng nhập vào tài khoản ngân hàng của bạn, bạn thường cần thêm xác thực ngoài mật khẩu đơn giản. Thông thường, ngân hàng của bạn sẽ yêu cầu bạn sử dụng ứng dụng chuyên dụng, xác minh qua SMS hoặc một phương pháp xác thực đa yếu tố khác.

Điều này không đúng với ví tiền điện tử, thường được bảo mật bằng cụm từ khóa gốc gồm 12 từ trở lên, cung cấp quyền truy cập hoàn toàn và không hạn chế vào các quỹ tiền điện tử, khóa riêng tư và giao dịch. Với chỉ một loạt các từ này, kẻ tấn công có thể dễ dàng và nhanh chóng chuyển tiền của bạn vào không gian ảo.

Tuy nhiên, một loạt các từ ngẫu nhiên dài có thể khó nhớ không kém gì một mật khẩu đặc biệt khó, và nhiều người lưu trữ những cụm từ này trong kho lưu trữ của công cụ quản lý mật khẩu. Và, như The Verge đưa tin, đây là tin tốt cho tin tặc, những người dường như đã đánh cắp hàng triệu đô la trong tiền điện tử.

Nick Bax, giám đốc phân tích tại Unciphered, đã xem xét một lượng lớn dữ liệu trộm cắp tiền điện tử được phát hiện bởi Taylor Monahan của Metamask và các nhà nghiên cứu khác. Vào tháng 9 năm 2023, ông đã nói với KrebsonSecurity rằng tội phạm đã chuyển tiền điện tử “từ nhiều nạn nhân đến cùng một địa chỉ blockchain, làm cho việc liên kết những nạn nhân này trở nên dễ dàng hơn.”

Sau khi xác định và phỏng vấn các nạn nhân, ông kết luận rằng yếu tố chung duy nhất là họ đã sử dụng LastPass để lưu trữ cụm từ khóa gốc của tiền điện tử.

Bax hiện đang thúc giục bất kỳ bạn bè và gia đình nào sử dụng LastPass thay đổi tất cả mật khẩu của họ và di chuyển bất kỳ tiền điện tử nào có thể đã bị lộ.

Thay Đổi Tất Cả Mật Khẩu Của Bạn Ngay Lập Tức

Tội phạm đã có đủ thời gian để sử dụng các khóa mã hóa bị đánh cắp để mở các kho lưu trữ mật khẩu bị đánh cắp.

Mặc dù có lý do để tin rằng những kẻ trộm sẽ nhắm đến các tài sản tiền điện tử dễ chuyển giao trước tiên, cũng có khả năng là họ đã tiết lộ tất cả các mật khẩu được lưu trữ trong LastPass của bạn. Họ không bị ràng buộc bởi thời gian, và cuối cùng sẽ đến với các tài nguyên ít giá trị hơn.

Mặc dù họ có thể không trực tiếp nhắm đến các tài khoản email, ví PayPal hoặc ngân hàng, nhưng những tài sản này có thể được đóng gói và bán cho các bên thứ ba tội phạm khác.

Nếu bất kỳ mật khẩu nào được lưu trữ trong kho lưu trữ LastPass trước năm 2022 vẫn còn được sử dụng, bạn nên thay đổi chúng ngay lập tức.