Il 22 dicembre LastPass, tra i gestori di password più usati, ha pubblicato un aggiornamento sulla violazione cominciata ad agosto. Per un servizio di questo tipo è la notizia peggiore possibile: gli attaccanti hanno copiato i backup delle casseforti dei clienti.
Ad agosto l’azienda aveva comunicato il furto di codice sorgente e informazioni tecniche dall’ambiente di sviluppo, assicurando che i dati dei clienti non erano stati toccati. Quelle informazioni sono servite a colpire un dipendente e a ottenere le chiavi di accesso a un servizio di archiviazione cloud di terze parti, dove LastPass conserva i backup dei dati di produzione.
Da lì sono usciti nomi, email, numeri di telefono, indirizzi di fatturazione e indirizzi IP di accesso dei clienti. E una copia delle casseforti, in un formato che mescola campi cifrati, come nomi utente, password, note sicure e dati dei moduli, a campi in chiaro, in particolare gli indirizzi dei siti salvati.
I campi cifrati sono protetti con AES-256 e con una chiave derivata dalla password principale di ciascun utente, che LastPass non conosce. L’azienda stessa avverte però che gli attaccanti potrebbero provare a indovinarla per forza bruta. E possono farlo con calma, offline, senza alcun limite di tentativi.
Quanto era buona la tua password principale?
La tua cassaforte rubata è sicura esattamente quanto quella password. Se era lunga, unica e mai usata altrove, il rischio è basso. Se era corta, riutilizzata o scelta anni fa con regole meno severe, considera esposte le password che contiene. Cambiarla adesso protegge i dati futuri, ma non la copia già rubata, che resta cifrata con quella vecchia.
In quel caso cambia le password salvate, partendo da quelle che aprono tutto il resto: email, banca, registrar di domini e hosting, account aziendali, criptovalute. Attiva l’autenticazione a più fattori su tutti i servizi importanti, così una password indovinata non basta. Se gestisci LastPass per un’azienda, ruota le credenziali condivise e i segreti più critici, come chiavi API e accessi cloud.
Resta l’elenco in chiaro dei siti che usi, legato alla tua email. Nessun cambio di password lo rende inutile, e per chi prepara un phishing su misura è materiale perfetto. Nei prossimi mesi diffida di ogni email che sembra arrivare da LastPass o da un servizio che usi e chiede di «verificare» qualcosa.
