Ako sa chrániť pred novou hrozbou hackovania LastPass

2024 Autor: Malcolm Clapton | [email protected]. Naposledy zmenené: 2023-12-17 04:09

Včera bol objavený skutočný spôsob, ako ukradnúť dáta z obľúbeného správcu hesiel LastPass. Odporúčame vám prečítať si tento článok, aby ste nespadli na návnadu.

Používame mnoho online služieb a webových aplikácií, z ktorých každá vyžaduje z bezpečnostných dôvodov iné prihlasovacie údaje a heslá. Udržať ich všetky v hlave je nemožné, preto sú správcovia hesiel rozšírení. Poskytujú spoľahlivé ukladanie a pohodlné používanie prihlasovacích údajov a hesiel nielen pre online služby, ale aj pre platobné systémy, bankové účty atď. Preto únik alebo prelomenie takéhoto správcu hesiel môže byť pre mnohých používateľov veľkým problémom.

Jednou z najpopulárnejších aplikácií tohto druhu je LastPass. Ide o skutočne skvelé riešenie, ktoré obstálo v skúške času a početných útokov hackerov. Včera však špecialista na počítačovú bezpečnosť Sean Cassidy objavil možnosť phishingového útoku na LastPass. Šikovne to pomenoval LostPass (stratené heslá).

V skratke, nájdená zraniteľnosť vyzerá takto. Najprv vás útočník naláka na svoju stránku, na ktorej sa zobrazí falošné (!) upozornenie, že vaša relácia vypršala a musíte sa znova prihlásiť. Pravdepodobne ste už videli podobné upozornenia z LastPass.

Keďže je upozornenie falošné, kliknutím na tlačidlo Skúsiť znova sa dostanete na špeciálne vytvorenú stránku, ktorá vyzerá presne ako štandardný formulár prihlasovania a hesla LastPass. Dokonca bude mať takmer rovnakú adresu, akú zvyčajne majú stránky služieb prehliadača otvárané nainštalovanými rozšíreniami. Až na malý detail, ktorý som zvýraznil na snímke obrazovky. Som si istý, že väčšina používateľov nebude venovať pozornosť takejto maličkosti.

Ďalej na tejto stránke zadáte svoje používateľské meno a heslo, aby ste sa prihlásili do LastPass, a okamžite padnú do rúk hackerov. Výsledkom je, že títo používatelia majú úplný prístup ku všetkým vašim stránkam a povereniam. Útok funguje aj keď máte povolenú dvojfaktorovú autentifikáciu, len postupnosť akcií hackera bude o krok ďalej. Môžete si prečítať viac o tom, ako LostPass funguje (v angličtine).

Samozrejme sa pýtate, ako sa môžete pred týmto nebezpečenstvom chrániť. Kým vývojári LastPass nepodniknú kroky na zabránenie takýmto phishingovým útokom, používatelia môžu dočasne zakázať rozšírenie prehliadača tejto služby. Áno, je to nepohodlné a prinúti vás to manuálne skopírovať požadované heslá z webovej stránky LastPass. Radikálnejšou možnosťou je nájsť ekvivalentnú alternatívu na ukladanie hesiel a dôverných údajov.

Používate ešte LastPass alebo ste prešli na iného správcu hesiel?