أعلنت شركة LastPass المطوّرة لتطبيق إدارة كلمات المرور الشهير، عن تعرّضها لخرق أمني بالغ الخطورة من المحتمل أن يؤدي إلى كشف كلمات مرور المستخدمين المُخزّنة في الخدمة.
وقالت الشركة إن القرصان تمكن من اختراق الحاسوب المنزلي لأحد موظفيها، مما أدى إلى سرقة الخزنة الرقمية للشركة بصيغة غير مُشفّرة، وقد كانت متوفرة لعدد محدود من مطوري الشركة، وفقاً لموقع aitnews.
وأضافت الشركة أن المُخترِق سرق مفاتيح الدخول إلى مساحتها السحابية في خدمة Amazon S3 حيث تُخزِّن الشركة مفاتيح تشفير النسخ الاحتياطية من خزنات مستخدمي التطبيق التي تحتوي على السجل الكامل لكلمات مرورهم.
وتمكّن مُنفذ الهجمة من الوصول إلى معلوماتٍ عالية الحساسية عبر استغلال ثغرة في أحد تطبيقات تشغيل الوسائط الموجود على حاسوب المُهندس الذي تعرّض للاختراق. ومن خلال تلك الثغرة، فعّل المُخترِق عن بعد شيفرةً برمجيةً أتاحت له زرع برنامجٍ لتسجيل ضربات لوحة المفاتيح، مما مكّنه من سرقة كلمة المرور الرئيسية للموظف.
وبمجرد حصوله على الخزنة غير المشفّرة، استخرج القرصان كل البيانات الموجودة فيها ومن ذلك مفاتيح فك التشفير اللازمة للوصول إلى خوادم LastPass وأماكن تخزين النسخ الاحتياطية وقواعد البيانات.
ويأتي هذا الخرق بعد شهرين فقط من خرقٍ مُشابه كانت الشركة قد كشفت عنه سابقًا، حصل من خلاله المخترقون على البيانات الشخصية لبعض مستخدمي LastPass.
وبالرغم من أن الشركة لم تؤكد تسرّب معلومات مستخدميها، فقد حثّت مستخدمي تطبيقها على تغيير كلمة المرور الرئيسية للتطبيق، إضافةً إلى تغيير جميع كلمات المرور المخزنة فيه.
وأشارت الشركة إلى أنها فتحت تحقيقًا لمعرفة المزيد من التفاصيل وبدأت اتخاذ الإجراءات المناسبة لتعطيل الهجمة وضمان عدم تكرارها في المُستقبل.
LastPass هي خدمة لإدارة كلمات المرور تسمح للمستخدمين بتخزين ومزامنة كلمات مرورهم عبر أجهزة ومنصات مختلفة. كما توفر ميزات مثل توليد كلمات السر الآمنة وملء النماذج. وتمتلك أكثر من 25 مليون مستخدم حول العالم.