2022年に発生したLastPassの大規模ハッキング事件は、今も私たちを悩ませている

2022年のLastPassの侵害は終わったと思った矢先、このハッキングがどれほどの被害をもたらしたのか、いまだ解明されていません。ブロックチェーン専門家のZachXBT氏によると、The Blockが報じたところによると、一連の攻撃で40人のユーザーから536万ドルが盗まれたとのことです。これは、2023年10月に440万ドル、そして今年2024年2月に620万ドルが盗まれたことに加え、さらに大きな額です。

最初のハッキングは2022年に遡り、ハッカーはLastPassのデータにアクセスしたと主張しました。このデータには、APIトークン、顧客キー、多要素認証シード（MFA）、暗号化されたパスワードボルトが含まれていました。侵害の発生経緯を説明する公式情報は発表されていませんが、ハッカーが侵害を助長する情報にアクセスした可能性は否定できません。ハッカーは、ユーザーが脆弱なパスワードや過去に漏洩したパスワードを使い回していたため、パスワードボルトが暗号化されていたにもかかわらず、侵入に成功しました。このアクセスと、ユーザーの脆弱なパスワードや使い回しが相まって、複数のアカウントが侵害されました。

「LastPassにシードフレーズやキーを保存したことがあると思われる場合は、暗号資産を直ちに移行してください」とZachXBTは昨年のXの投稿に書いている。

この一連の攻撃が今後も続くかどうかは、時が経てば分かるでしょう。LastPassの安全性に疑問を抱く人もいるかもしれません。しかし、最初の侵害はどのようにして発生したのでしょうか？LastPassは、ハッカーがアプリのソースコードを盗んだことを明らかにしました。その後の攻撃では、ハッカーは盗んだデータを別のデータ侵害で発見された情報と統合しました。

その後、ハッカーたちはLastPassの従業員が使用していたリモートアクセスアプリの脆弱性を悪用しました。これにより、ハッカーはLastPassのシニアエンジニアのPCにキーロガーをインストールし、すべてのキー入力を記録しました。

この侵害は、すべてのアカウントで常に強力なパスワードを設定することの重要性を浮き彫りにしました。パスワードの使い回しは絶対に避け、ハッカーに悪用されやすい推測しやすいパスワードは避けましょう。長くて強力なパスワードを作成するのが苦手な場合は、優れたパスワード生成ツールを利用するのも良いでしょう。