LastPass mengatakan penyerang di balik pelanggaran keamanan Agustus memiliki akses internal ke sistem perusahaan selama empat hari sampai mereka terdeteksi dan diusir.
Dalam pembaruan pemberitahuan insiden keamanan yang diterbitkan bulan lalu, CEO Lastpass Karim Toubba juga mengatakan bahwa penyelidikan perusahaan (dilakukan dalam kemitraan dengan perusahaan keamanan siber Mandiant) tidak menemukan bukti bahwa pelaku ancaman mengakses data pelanggan atau brankas kata sandi terenkripsi.
“Meskipun pelaku ancaman dapat mengakses lingkungan Pengembangan, desain dan kontrol sistem kami mencegah pelaku ancaman mengakses data pelanggan atau brankas kata sandi terenkripsi,” kata Toubba.
Sementara metode di mana penyerang dapat mengkompromikan titik akhir pengembang Lastpass untuk mengakses lingkungan Pengembangan, penyelidikan menemukan bahwa aktor ancaman dapat menyamar sebagai pengembang setelah ia “berhasil mengautentikasi menggunakan otentikasi multi-faktor.”
Setelah menganalisis kode sumber dan pembuatan produksi, perusahaan juga tidak menemukan bukti bahwa penyerang mencoba menyuntikkan kode berbahaya.
Ini mungkin karena hanya tim Rilis Build yang dapat mendorong kode dari Pengembangan ke Produksi, dan meskipun demikian, Toubba mengatakan proses tersebut melibatkan tahap peninjauan kode, pengujian, dan validasi.
Selain itu, ia menambahkan bahwa lingkungan Pengembangan LastPass “secara fisik terpisah dari, dan tidak memiliki konektivitas langsung ke” lingkungan Produksi Lastpass.
Setelah insiden itu, Lastpass telah “menerapkan kontrol keamanan yang ditingkatkan termasuk kontrol dan pemantauan keamanan titik akhir tambahan,” serta kemampuan intelijen ancaman tambahan dan teknologi deteksi dan pencegahan yang ditingkatkan di lingkungan Pengembangan dan Produksi.
Pemberitahuan pelanggaran tertunda selama dua minggu
Pembaruan ini muncul setelah Lastpass memberi tahu pengguna pada 25 Agustus bahwa “baru-baru ini mendeteksi beberapa aktivitas yang tidak biasa” di lingkungan pengembangannya.
Pengungkapan itu terjadi setelah BleepingComputer mengetahui pelanggaran tersebut dari orang dalam satu minggu sebelumnya dan menghubungi perusahaan pada 21 Agustus tanpa menerima jawaban atas pertanyaan dan permintaan untuk mengonfirmasi insiden tersebut.
Dalam surat yang dikirim ke pelanggan setelah email BleepingComputer, Lastpass mengkonfirmasi bahwa itu diretas dua minggu sebelumnya dan bahwa penyerang telah mencuri beberapa kode sumber dan informasi teknis kepemilikan.
“Dua minggu lalu, kami mendeteksi beberapa aktivitas yang tidak biasa dalam bagian dari lingkungan pengembangan LastPass,” kata perusahaan saat itu.
“Setelah memulai penyelidikan segera, kami tidak melihat bukti bahwa insiden ini melibatkan akses ke data pelanggan atau brankas kata sandi terenkripsi.”
LastPass menyediakan salah satu perangkat lunak manajemen kata sandi paling populer di dunia, dengan perusahaan mengklaim bahwa itu digunakan oleh lebih dari 33 juta orang dan 100.000 bisnis.
Sumber: BleepingComputer
