Lastpass: Hacker konnten vier Tage auf Systeme zugreifen

Im August 2022 bestätigten die Macher der Passwort-Management-Software Lastpass, dass sie im vergangenen Monat Opfer eines Hacker-Angriffs geworden waren. In den vergangenen Tagen hat Lastpass-CEO Karim Toubba nun weitere Einzelheiten zu der Attacke bekannt gegeben.

Hacker hatten vier Tage lang Zugriff

Laut Toubba seien die Ermittlungen in Kooperation mit den Sicherheitsexperten von Mandiant nun abgeschlossen. Die Untersuchungen hätten ergeben, dass Angreifer über einen Zeitraum von vier Tagen im August 2022 Zugriff auf die Entwicklungsumgebung von Lastpass hatten. Lastpass könne eigenen Angaben zufolge bestätigen, dass es keine Beweise dafür gebe, “dass dieser Vorfall einen Zugriff auf Kundendaten oder verschlüsselte Passwort-Tresore beinhaltet“ , heißt es in einem Blog-Beitrag auf der Seite des Entwicklers. Man habe zudem keine Hinweise darauf gefunden, dass die Hacker über diesen Zeitraum hinaus Zugriff auf die Lastpass-Systeme gehabt hätten.

Kein Zugriff auf Tresore der Kunden

Den Hackern sei es gelungen, über einen kompromittierten Endpunkt in die Entwicklungsumgebung einzudringen. Die Angreifer hätten sich so im System als Entwickler ausgegeben und konnten sich über eine erfolgreiche Multi-Faktor-Authentifizierung einloggen. Das Systemdesign von Lastpass habe während des Hacks jedoch verhindert, dass die Angreifer auf Kundendaten und verschlüsselte Passwort-Tresore hätten zugreifen können. Die Entwickler selbst hätten keinen Zugriff auf die Master-Passworte der Kunden und können so auch deren Tresore nicht öffnen.

Lastpass verbessert Sicherheitskontrollen

Bei der Untersuchung seien “keine Anzeichen für Versuche des Code-Poisoning oder der Einschleusung von bösartigem Code“ gefunden worden. Um sich in Zukunft besser zu schützen, kooperiert Lastpass mit einem Cybersicherheitsunternehmen und hat verbesserte Sicherheitskontrollen eingeführt. “Wir sind uns bewusst, dass Sicherheitsvorfälle jeglicher Art beunruhigend sind, aber wir möchten Ihnen versichern, dass Ihre persönlichen Daten und Passwörter bei uns sicher sind,“ erklärt Toubba weiter.