Jak se chránit před novou hrozbou hacknutí LastPass

2024 Autor: Malcolm Clapton | [email protected]. Naposledy změněno: 2023-12-17 03:50

Včera byl objeven skutečný způsob, jak ukrást data z oblíbeného správce hesel LastPass. Doporučujeme vám přečíst si tento článek, abyste nespadli na návnadu.

Používáme mnoho online služeb a webových aplikací, z nichž každá vyžaduje z bezpečnostních důvodů jiná přihlašovací jména a hesla. Udržet je všechny v hlavě je nemožné, proto jsou správci hesel tak rozšířeni. Poskytují spolehlivé úložiště a pohodlné používání přihlašovacích údajů a hesel nejen pro online služby, ale také pro platební systémy, bankovní účty a tak dále. Proto únik nebo prolomení takového správce hesel může být pro mnoho uživatelů velkým problémem.

Jednou z nejpopulárnějších aplikací tohoto druhu je LastPass. Toto je opravdu skvělé řešení, které obstálo ve zkoušce času a četných hackerských útoků. Včera však specialista na počítačovou bezpečnost Sean Cassidy objevil možnost phishingového útoku na LastPass. Chytře to pojmenoval LostPass (ztracená hesla).

Zkrátka nalezená zranitelnost vypadá takto. Nejprve vás útočník naláká na svůj web, na kterém se zobrazí falešné (!) upozornění, že vaše relace vypršela a musíte se znovu přihlásit. Podobná upozornění z LastPass jste pravděpodobně viděli.

Protože je oznámení falešné, kliknutím na tlačítko Zkusit znovu se dostanete na speciálně vytvořenou stránku, která vypadá přesně jako standardní formulář pro přihlášení a heslo LastPass. Bude mít dokonce adresu téměř stejnou, jakou obvykle mají stránky služeb prohlížeče otevírané nainstalovanými rozšířeními. Až na malý detail, který jsem zvýraznil na snímku obrazovky. Jsem si jistý, že většina uživatelů nebude takové maličkosti věnovat pozornost.

Dále na této stránce zadáte své uživatelské jméno a heslo pro přihlášení do LastPass a okamžitě padnou do rukou hackerů. Výsledkem je, že tito uživatelé mají plný přístup ke všem vašim webům a přihlašovacím údajům. Útok funguje, i když máte povolenou dvoufaktorovou autentizaci, jen hackerova sekvence akcí bude o krok dále. Můžete si přečíst více o tom, jak LostPass funguje (v angličtině).

Samozřejmě vás zajímá, jak se můžete před tímto nebezpečím chránit. Dokud vývojáři LastPass neučiní kroky k zabránění takovým phishingovým útokům, mohou uživatelé dočasně zakázat rozšíření prohlížeče této služby. Ano, je to nepohodlné a donutí vás to ručně zkopírovat požadovaná hesla z webové stránky LastPass. Radikálnější možností je najít ekvivalentní alternativu pro ukládání hesel a důvěrných dat.

Stále používáte LastPass nebo jste přešli na jiného správce hesel?