Пользователи LastPass получают предупреждения о взломе мастер-пароля

В письмах сообщается, что попытки авторизации были заблокированы из-за использования незнакомой локации:

Кто-то использовал ваш мастер-пароль, чтобы попытаться войти в вашу учетную запись с незнакомого устройства или места.

LastPass заблокировал эту попытку, но требуется ваше внимание. Это были вы?

Отчеты о взломанных мастер-паролях замечены во многих социальных сетях и веб-платформах, таких как Twitter, Reddit и Hacker News.

Атака типа credential stuffing

LastPass изучил сообщения о заблокированных попытках входа в систему и определил, что эта активность связана с ботами. Злоумышленники пытаются получить доступ к учетным записям пользователей с использованием адресов электронной почты и паролей, полученных в результате взломов третьих лиц.

Николетт Баксо-Альбаум (ikolett Bacso-Albaum), директор Global PR/AR заявил:

Важно отметить, что у нас нет никаких подтверждений того, что к учетным записям был успешно осуществлен доступ или что служба LastPass была иным образом взломана неавторизованной стороной. Мы регулярно отслеживаем этот тип деятельности и продолжим принимать меры, чтобы гарантировать, что LastPass, его пользователи и их данные остаются защищенными и надежными.

Затронутые пользователи рассказали, что их мастер-пароли уникальны и не используются на других сайтах и сервисах.

На данный момент не установлен способ кражи паролей. Примечательно, что некоторые пользователи после смены мастер-пароля, получили повторное предупреждение о несанкционированной попытке входа.

Someone tried my @LastPass master password earlier yesterday and then someone just tried it again a few hours ago after I changed it. What the hell is going on?

— Valcrist (@Valcristerra) December 28, 2021

Проблемы возникают даже при попытке удалить учетную запись LastPass. Пользователи сообщают об ошибке с сообщением «Что-то пошло не так» при нажатии кнопки удаления.

Два года назад, в сентябре 2019 года, LastPass устранил уязвимость безопасности в расширении для Chrome, позволяющую злоумышленникам перехватывать учетные данные, которые в последний раз использовались для входа на сайт.

Пользователям LastPass рекомендуется включить многофакторную аутентификацию для защиты своих учетных записей, даже если их мастер-пароль был скомпрометирован.