Lastpass, een van 's werelds meest gebruikte tools voor het beheer van wachtwoorden, heeft te maken met een hack. Het zou gaan om een gedeelte van de ontwikkelomgeving en niet om de productieomgeving. Volgens het Amerikaanse bedrijf zijn geen klantgegevens of versleutelde informatie over wachtwoorden ontvreemd.
Ruim 25 miljoen personen maken gebruik van Lastpass voor het beheer van digitale inloggegevens en andere gevoelige informatie, zoals creditcardgegevens. Je hoeft slechts één hoofdwachtwoord te onthouden en in te voeren, waarna de tool bij elk inlogscherm dat je bezoekt, eenvoudig de bijbehorende gebruikersnaam en wachtwoorden invult. Ontvreemding van hoofdwachtwoorden zou dus een groot beveiligingsprobleem zijn.
Er zou geen sprake zijn van ontvreemding van hoofdwachtwoorden of binnendringen van de persoonlijke digitale kluis waarin gebruikers al hun gebruikersnamen en wachtwoorden opslaan.
Broncode en technische informatie
Kwaadwillenden hebben zich toegang verschaft tot delen van de ontwikkelomgeving van Lastpass. Die zou op separate servers staan. Daar zijn mogelijk fragmenten van de broncode en technische informatie over de toepassing buitgemaakt. Voor toegang tot de ontwikkelomgeving gebruikten de criminelen een gecompromitteerde ontwikkelaarsaccount. Het is zorgelijk dat een deel van de broncode en technische informatie in handen van criminelen is.
Nadat de hack werd opgemerkt, is de ontwikkelomgeving afgegrendeld (‘contained’) en traden aanvullende beveiligingsmaatregelen in werking. Volgens Lastpass-topman Karim Toubba doet een gerenommeerd cybersecuritybedrijf forensisch onderzoek naar het voorval.
Het is niet de eerst keer dat Lastpass een beveiligingslek meldt. In juni 2015 drongen hackers de servers binnen, waarna het bedrijf zijn klanten opriep hun hoofdwachtwoord te wijzigen.
