Se hai seguito lo scandalo della violazione dei dati di LastPass negli ultimi mesi, potresti essere perdonato per aver pensato che non potesse andare peggio. Ogni poche settimane, la società esce con tristi notizie sull’entità dell’hack. Ora, la sua società madre, GoTo , ha rivelato che anche lei è stata una vittima.
In un post sul blog , il CEO di GoTo Paddy Srinivasan ha rilasciato un aggiornamento informando i clienti che prodotti diversi da LastPass sono stati compromessi nella violazione. I servizi GoTo che condividevano un server con LastPass, come Central, Pro, join.me, Hamachi e RemotelyAnywhere, hanno subito il furto di informazioni sensibili durante l’hacking di LastPass, inclusi nomi utente, password, impostazioni di autenticazione a più fattori e informazioni sul prodotto e informazioni sulla licenza. Inoltre, la violazione ha interessato un piccolo sottoinsieme delle impostazioni di autenticazione a più fattori dei servizi Rescue e GoToMyPC.
Srinivasan afferma che i clienti interessati vengono contattati direttamente e che, sebbene le informazioni sulla password siano state sottoposte a salting e hash, GoTo sta reimpostando le loro password per cautela. Inoltre, l’azienda sta migrando gli account interessati su una piattaforma di gestione delle identità potenziata per fornire ulteriori opzioni di sicurezza e autenticazione all’accesso.
La violazione dei dati in questione è avvenuta nell’agosto del 2022 , all’epoca il gestore delle password affermava che l’hack riguardava solo il codice sorgente di LastPass e altre informazioni tecniche. Tuttavia, con il progredire del 2022, sono emersi ulteriori dettagli. Alla fine di novembre , LastPass ha ammesso che “alcuni elementi delle informazioni dei nostri clienti” erano stati rubati dagli hacker. Nessun dettaglio sul tipo di informazioni che potrebbero essere state fornite in quel momento. Quindi, poco prima di Natale , il gestore delle password ha lasciato cadere la notizia che gli hacker avevano ottenuto un “backup dei dati del caveau del cliente”.
Il furto del deposito di backup significa che gli hacker ora hanno tentativi illimitati di indovinare la password principale di tutti i clienti di LastPass e ottenere l’accesso a ogni bit di informazioni sui clienti nel deposito. LastPass ha affermato che i dati dei clienti sono ancora al sicuro fintanto che gli utenti hanno creato una password principale complessa, un’affermazione che è stata fatta a pezzi pochi giorni dopo dal concorrente di LastPass 1Password.
Ora sembra che il problema potrebbe essere molto più grave di quanto apparisse alla fine del 2022, con l’inclusione di dati rubati da servizi esterni a LastPass. E mentre speriamo che questa sia la fine degli aggiornamenti a questo scandalo, gli ultimi mesi hanno dimostrato che ha sempre il potenziale per peggiorare rispetto a prima.