أعلنت شركة LastPass المطوّرة لتطبيق إدارة كلمات المرور الشهير، عن تعرّضها لخرق أمني بالغ الخطورة من المحتمل أن يؤدي إلى كشف كلمات مرور المستخدمين المُخزّنة في الخدمة.
وقالت الشركة إن القرصان تمكن من اختراق الحاسوب المنزلي لأحد موظفيها، ما أدى إلى سرقة الخزنة الرقمية للشركة بصيغة غير مُشفّرة، والتي كانت متوفرة لعدد محدود من مطوري الشركة.
وأضافت الشركة أن المُخترِق سرق مفاتيح الدخول إلى مساحتها السحابية على خدمة Amazon S3 حيث تُخزّن الشركة مفاتيح تشفير النسخ الاحتياطية من خزنات مستخدمي التطبيق والتي تحتوي على السجل الكامل لكلمات مرورهم.
وتمكّن مُنفذ الهجمة من الوصول إلى معلوماتٍ عالية الحساسية عبر استغلال ثغرة في أحد تطبيقات تشغيل الوسائط الموجود على حاسوب المُهندس الذي تعرّض للاختراق. ومن خلال تلك الثغرة، فعّل المُخترِق عن بعد شيفرةً برمجيةً أتاحت له زرع برنامجٍ لتسجيل ضربات لوحة المفاتيح، ما مكّنه من سرقة كلمة المرور الرئيسية للموظف.
وبمجرد حصوله على الخزنة غير المشفّرة، استخرج القرصان كل البيانات الموجودة فيها بما في ذلك مفاتيح فك التشفير اللازمة للوصول إلى خوادم LastPass وأماكن تخزين النسخ الاحتياطية وقواعد البيانات.
موضوعات ذات صلة بما تقرأ الآن:
ويأتي هذا الخرق بعد شهرين فقط من خرقٍ مُشابه كانت الشركة قد كشفت عنه سابقًا، حصل من خلاله المخترقون على البيانات الشخصية لبعض مستخدمي LastPass.
ورغم أن الشركة لم تؤكد تسرّب معلومات مستخدميها، فقد حثّت مستخدمي تطبيقها على تغيير كلمة المرور الرئيسية للتطبيق، إضافةً إلى تغيير جميع كلمات المرور المخزنة فيه.
وأشارت الشركة إلى أنها فتحت تحقيقًا لمعرفة المزيد من التفاصيل وبدأت اتخاذ الإجراءات المناسبة لتعطيل الهجمة وضمان عدم تكرارها في المُستقبل.
LastPass هي خدمة لإدارة كلمات المرور تسمح للمستخدمين بتخزين ومزامنة كلمات مرورهم عبر أجهزة ومنصات مختلفة. كما توفر ميزات مثل توليد كلمات السر الآمنة وملء النماذج. وتمتلك أكثر من 25 مليون مستخدم حول العالم.
