LastPass のデータ侵害後にパスワードを変更していない場合は、今すぐ変更してください

LastPass の侵害の後、ハッカーは数百万ドルの暗号通貨を盗んでいるようです。知っておくべきことは次のとおりです。

データ侵害のニュースが見出しにならない週はほとんどありません。実際の結果が生じることはまれであるように見えますが、攻撃が成功するのは非常に一般的であるため、無視して通常どおり続行したくなる誘惑にかられます。しかし、2022 年の LastPass データ侵害では、犯罪者がパスワード保管庫全体にアクセスし、同社からの一連のますます信じがたい拒否につながりました。

現在、LastPass ハッキングにより、サイバー犯罪者が 3,500 万ドル以上の暗号通貨を盗んだようです。

2022 年の LastPass データ侵害で何が起こったのでしょうか?

オンラインアカウントを安全に保つ必要性を意識している場合は、パスワードマネージャーが必要です。強力なパスワードを自分で覚えたり、すべてに同じパスワードを再利用したりする代わりに (これはお勧めしません)、パスワードマネージャーがログイン認証情報を生成し、暗号化されたオンライン保管庫に保存します。

優れたパスワードマネージャーを使用すると、マスターパスワードを使用してボールトのロックを解除でき、パスワードマネージャーがサイト固有の資格情報セットを使用してログインできるようになります。

パスワードマネージャーに依存するようになると、電子メール、オンラインバンキング、店舗の特典制度、そして暗号ウォレットもパスワードマネージャーに委ねることになります。

ハッカーは 2022 年 8 月に LastPass に侵入し、数か月にわたって同社が繰り返し再保証したにもかかわらず、LastPass は 2022 年 12 月に個人ユーザーデータと暗号化されたパスワード保管庫が盗まれたことを認めました。その頃、MUO は LastPass の顧客から、犯罪者が資格情報を積極的に使用していると主張する電子メールを受け取り始めました。

犯罪者がダウンロードしたパスワード保管庫に侵入できたというオンライン上の憶測や根拠のない報道にもかかわらず、LastPass はマスターパスワードを解読するには何百万年もかかるという声明を出し、顧客をなだめ続けました。

LastPass の以前の声明と同様に、これが完全に真実ではない可能性が現在浮上しており、不審な取引の痕跡は、LastPass の保管庫から取得されたデータがデジタル資産を盗むために使用されている証拠を示しています。

犯罪者は盗まれた LastPass 資格情報をどのように使用しているか

銀行口座にログインするには、通常、単純なパスワード以上の認証が必要です。通常、銀行は専用アプリ、SMS 認証、または別の多要素認証方法の使用を要求します。

これは暗号ウォレットには当てはまりません。暗号ウォレットは通常、12 語以上のシードフレーズを使用して保護されており、暗号資金、秘密鍵、トランザクションへの完全かつ無制限のアクセスが可能です。この一連の単語だけを武器とした攻撃者は、迅速かつ簡単に資金をエーテルに吸い上げることができます。

しかし、ランダムな単語の連続は、特にトリッキーなパスワードと同じくらい覚えにくいため、多くの人がこれらをパスワードマネージャーの保管庫に保存しています。そして、The Vergeが報じているように、これは数百万ドルの仮想通貨を盗んだと思われるハッカーにとって朗報だ。

アンサイファード社の分析ディレクターであるニック・バックス氏は、メタマスクのテイラー・モナハン氏や他の研究者によって発掘された膨大な量の暗号通貨盗難データを調査している。 2023年9月、同氏はクレブソンセキュリティに対し、犯罪者が仮想通貨を「複数の被害者から同じブロックチェーンアドレスに移し、それらの被害者を強く結びつけることが可能になった」と語った。

被害者を特定してインタビューした後、彼は、唯一の共通点は、暗号シードフレーズの保存に LastPass を使用していたことであると結論付けました。

バックス氏は現在、LastPassを使用している友人や家族に対し、すべてのパスワードを変更し、流出した可能性のある暗号通貨を移行するよう呼び掛けている。

すべてのパスワードを今すぐ変更してください

犯罪者は、盗んだ暗号化キーを使用して、盗んだパスワード保管庫を開けるのに十分な時間を費やしてきました。

窃盗犯が最初に簡単に譲渡可能な暗号資産を狙うのは当然ですが、保存されている LastPass パスワードがすべてすでに明らかになっている可能性も高くなります。彼らには時間の制約がなく、最終的には価値の低いリソースを利用できるようになります。

電子メールアカウント、PayPal ウォレット、銀行を直接標的にすることはありませんが、これらの資産はパッケージ化され、他の犯罪的な第三者に販売される可能性があります。

2022 年より前に LastPass ボールトに保存されているパスワードがまだ使用されている場合は、すぐに変更する必要があります。