Trình quản lý mật khẩu phổ biến nhất thế giới bị hack

LastPass, trình quản lý mật khẩu được hơn 33 triệu người dùng và 100.000 doanh nghiệp sử dụng, cho biết một hacker đã lấy đi mã nguồn và thông tin độc quyền sau khi đột nhập hệ thống. Công ty không phát hiện dấu hiệu cho thấy mật khẩu bị đánh cắp trong vụ xâm phạm và người dùng cũng chưa cần làm gì để bảo vệ tài khoản.

Một cuộc điều tra xác định “một bên không được ủy quyền” đã xâm nhập vào môi trường dành cho nhà phát triển, chính là các phần mềm mà nhân viên sử dụng để phát triển và duy trì sản phẩm của LastPass. Thủ phạm làm được như vậy nhờ chiếm quyền tài khoản của một lập trình viên.

LastPass là công ty tạo và lưu trữ các mật khẩu phức tạp, khó bị bẻ khóa cho nhiều tài khoản thay mặt người dùng. Theo thông tin trên website, Patagonia, Yelp và State Farm là các khách hàng của LastPass.

Trang web bảo mật Bleeping Computer đã hỏi LastPass về vụ xâm phạm 2 tuần trước đó. Dù vậy, Allan Liska, nhà phân tích trong nhóm phản ứng sự cố máy tính của hãng an ninh mạng Recorded Future, lại ấn tượng trước “thông báo nhanh chóng” từ LastPass. Theo ông, thời gian 2 tuần có thể lâu với một số người song các nhóm phản ứng cần thời gian để đánh giá đầy đủ và báo cáo về tình hình.

Trước một số suy đoán trên mạng xã hội về việc hacker tiếp cận các khóa của kho mật khẩu sau khi đánh cắp mã nguồn, Liska cho rằng đây là điều không chắc chắn. Các "kho mật khẩu" này được mã hóa và chỉ giải mã được bằng mật khẩu chính (master) của khách hàng, thứ không bị xâm phạm trong cuộc tấn công.

Năm 2021, LastPass cũng gặp phải một vụ tấn công cho phép kẻ xấu xác nhận mật khẩu master của một người dùng. Vì vậy, cần kích hoạt xác thực hai lớp trên tài khoản LastPass để hacker không thể truy cập tài khoản của bạn ngay cả khi mật khẩu bị đánh cắp.