Dataintrång hos Lastpass

Företaget bakom den populära lösenordshanteraren Lastpass har drabbats av ett dataintrång. Enligt ett mejl till Lastpass kunder lyckades angriparna komma över delar av källkoden till Lastpass tillsammans med en del teknisk information. Lastpass skickade ut mejlet för att informera om incidenten; inte för att användarna behöver vida några åtgärder.

Inga lösenord är äventyrade

Fördelen med en lösenordshanterare som Lastpass är att inte ens företaget som driver tjänsten har åtkomst till informationen som användarna sparar i sina lösenordsvalv. Det innebär att ingen skada hade skett även om angriparna hade lyckats komma åt lösenordsvalven, något Lastpass för övrigt meddelar att de inte har några indikationer på att har skett.

Two weeks ago, we detected some unusual activity within portions of the LastPass development environment. After initiating an immediate investigation, we have seen no evidence that this incident involved any access to customer data or encrypted password vaults. 

Karim Toubba, VD för Lastpass, 2022-08-25

Lastpass och liknande lösenordshanterare, såsom Bitwarden och 1password, är konstruerade för att inga incidenter som denna ska äventyra användarnas lösenord. Det är också därför som kundtjänsten hos Lastpass och deras konkurrenter aldrig kan återställa bortglömda huvudlösenord. Om kundtjänsten hade kunnat göra det, hade incidenter som denna varit betydligt allvarligare.

Lastpass sparar själva en del kunddata, vilken till skillnad från innehållet i lösenordsvalven skulle kunna läcka. Däri ingår bland annat namn, e-postadresser och kontaktuppgifter. Enligt Lastpass officiella blogginlägg finns det inga indikationer på att angriparna kom åt denna data.

Ingen åtgärd krävs

Intrånget påverkar således inte Lastpass användare (varken privatpersoner, medarbetare eller administratörer för organisationers Lastpass-konton). Ingen åtgärd behöver vidtas. Lastpass skickade mejlet för att vara transparenta, något som är helt avgörande för deras långsiktiga trovärdighet. Jämför det med konkurrenten Keepers agerande 2017 när de, i stället för att vara transparenta, valde att stämma stjärnjournalisten Dan Goodin för att ha rapporterat om en säkerhetsbrist i deras produkt.

Incidenten förändrar inte heller vår rekommendation av Lastpass.