Come proteggersi dalla nuova minaccia di hacking LastPass

2024 Autore: Malcolm Clapton | [email protected]. Ultima modifica: 2023-12-17 04:01

Ieri è stato scoperto un vero modo per rubare dati dal popolare gestore di password LastPass. Ti consigliamo di leggere questo articolo per non cadere nell'esca.

Utilizziamo molti servizi online e applicazioni web, ognuno dei quali richiede login e password diversi per motivi di sicurezza. È impossibile tenerli tutti in testa, motivo per cui i gestori di password sono molto diffusi. Forniscono un'archiviazione affidabile e un uso conveniente di login e password non solo per i servizi online, ma anche per sistemi di pagamento, conti bancari e così via. Pertanto, perdere o violare un simile gestore di password può diventare un grosso problema per molti utenti.

Una delle app più popolari di questo tipo è LastPass. Questa è davvero un'ottima soluzione che ha superato la prova del tempo e numerosi attacchi di hacker. Tuttavia, ieri, lo specialista di sicurezza informatica Sean Cassidy ha scoperto la possibilità di un attacco di phishing su LastPass. Lo ha abilmente chiamato LostPass (password perse).

In breve, la vulnerabilità trovata si presenta così. Innanzitutto, l'attaccante ti attira sul suo sito, che mostra una falsa (!) Notifica che la tua sessione è scaduta e deve essere nuovamente connesso. Probabilmente hai visto notifiche simili da LastPass.

Poiché la notifica è falsa, facendo clic sul pulsante Riprova verrai indirizzato a una pagina appositamente predisposta che assomiglia esattamente a un modulo di accesso e password LastPass standard. Avrà anche un indirizzo quasi lo stesso delle pagine del servizio browser aperte dalle estensioni installate di solito. Tranne un piccolo dettaglio che ho evidenziato nello screenshot. Sono sicuro che la maggior parte degli utenti non presterà alcuna attenzione a una tale sciocchezza.

Successivamente, inserisci il tuo nome utente e password in questa pagina per accedere a LastPass e cadono immediatamente nelle mani degli hacker. Di conseguenza, questi ultimi hanno pieno accesso a tutti i tuoi siti e credenziali. L'attacco funziona anche se hai abilitato l'autenticazione a due fattori, solo la sequenza di azioni dell'hacker sarà un passo avanti. Puoi leggere di più su come funziona LostPass (in inglese).

Certo, ti chiedi come puoi proteggerti da questo pericolo. Fino a quando gli sviluppatori di LastPass non prenderanno provvedimenti per prevenire tali attacchi di phishing, gli utenti potranno disabilitare temporaneamente l'estensione del browser di questo servizio. Sì, questo è scomodo e ti costringerà a copiare manualmente le password richieste dalla pagina web di LastPass. Un'opzione più radicale consiste nel trovare un'alternativa equivalente per l'archiviazione di password e dati riservati.

Stai ancora utilizzando LastPass o sei passato a un altro gestore di password?