LastPass xác nhận dữ liệu khách hàng bị lộ trong vụ tấn công chuỗi cung ứng qua Klue

LastPass đã xác nhận một vụ vi phạm dữ liệu bắt nguồn từ cuộc tấn công chuỗi cung ứng nhắm vào Klue, một nhà cung cấp bên thứ ba. Tin tặc đã đánh cắp mã thông báo OAuth từ môi trường của Klue, từ đó chúng có thể truy cập vào phiên bản Salesforce của LastPass. Với quyền truy cập đó, kẻ tấn công đã trích xuất dữ liệu hồ sơ hỗ trợ khách hàng, bao gồm tên, số điện thoại, địa chỉ email và địa chỉ thực. Tin tốt là, ít nhất vào lúc này, dường như các kho mã hóa mật khẩu chưa bị xâm phạm.

Đây không phải là sự cố bảo mật nghiêm trọng đầu tiên của LastPass. Công ty từng hứng chịu một vụ vi phạm lớn vào năm 2022, trong đó tin tặc lấy được bản sao các kho mã hóa mật khẩu của khách hàng. Sự việc đó đã vấp phải làn sóng chỉ trích dữ dội và khiến một lượng lớn người dùng chuyển sang các trình quản lý mật khẩu đối thủ. Vụ vi phạm mới này, tuy phạm vi hẹp hơn, là lời nhắc nhở rằng ngay cả khi sản phẩm cốt lõi của một công ty vẫn an toàn, hạ tầng xung quanh vẫn có thể trở thành một vectơ tấn công.

Cách một nhà cung cấp bên thứ ba trở thành mắt xích yếu

Cơ chế của vụ vi phạm này tuân theo một kịch bản đã được ghi nhận rõ trong các cuộc tấn công chuỗi cung ứng hiện đại. Klue, nền tảng tình báo cạnh tranh được LastPass sử dụng, đã bị xâm phạm trước tiên. Kẻ tấn công đã đánh cắp mã thông báo OAuth, về cơ bản là các chìa khóa kỹ thuật số cho phép một dịch vụ xác thực với dịch vụ khác mà không cần mật khẩu. Với những mã thông báo đó trong tay, kẻ tấn công có thể truy cập vào môi trường Salesforce của LastPass như thể chúng là một hệ thống hợp pháp, được ủy quyền.

Đây chính là vấn đề cốt lõi của các cuộc tấn công chuỗi cung ứng: tình trạng an ninh của chính bạn có thể mạnh, nhưng mỗi nhà cung cấp bạn trao quyền truy cập đều trở thành một phần bề mặt tấn công của bạn. Việc đánh cắp mã thông báo OAuth đồng nghĩa với việc các phòng tuyến của LastPass phần lớn đã bị bỏ qua. Kẻ tấn công không cần phải trực tiếp bẻ khóa LastPass; chúng tìm thấy một cánh cửa bên hông thông qua một đối tác đáng tin cậy.

Đối với người dùng, dữ liệu bị lộ ngay lập tức là thông tin liên hệ cá nhân chứ không phải mật khẩu. Tuy nhiên, dữ liệu đó vẫn có giá trị với kẻ tấn công. Tên, số điện thoại và địa chỉ email có thể được dùng để thực hiện các chiến dịch lừa đảo, tấn công hoán đổi SIM và các cuộc tấn công kỹ thuật xã hội mà cuối cùng có thể dẫn đến chiếm đoạt tài khoản.

Tại sao chỉ riêng trình quản lý mật khẩu không phải là tuyến phòng thủ hoàn chỉnh

Vụ vi phạm này cho thấy một điều quan trọng: trình quản lý mật khẩu bảo vệ thông tin đăng nhập của bạn, nhưng nó không bảo vệ mọi thứ về bạn với tư cách là người dùng. Dữ liệu ở đây bị lộ – thông tin liên hệ và lịch sử hồ sơ hỗ trợ – tồn tại bên ngoài kho mã hóa. Nó nằm trong các hệ thống quản lý quan hệ khách hàng, nền tảng ticket hỗ trợ, và các công cụ tiếp thị, vốn thường được kết nối với hàng chục nhà cung cấp bên thứ ba.

Đối với những người dùng coi trọng quyền riêng tư, điều này chỉ ra giá trị của việc phòng thủ theo lớp. Xác thực hai yếu tố (2FA) là bản nâng cấp trực tiếp nhất mà bất kỳ ai cũng có thể thực hiện. Ngay cả khi kẻ tấn công có được địa chỉ email của bạn và tìm cách dùng nó để đặt lại thông tin đăng nhập tài khoản ở nơi khác, 2FA tạo ra một rào cản đáng kể. Sử dụng ứng dụng xác thực thay vì 2FA qua SMS mạnh hơn đáng kể, vì số điện thoại bị lộ trong vụ vi phạm này về lý thuyết có thể bị dùng trong các cuộc tấn công hoán đổi SIM.

VPN bổ sung một lớp riêng biệt bằng cách che địa chỉ IP của bạn và mã hóa lưu lượng internet ở cấp độ mạng, giảm thiểu nguy cơ bị lộ khi sử dụng các mạng công cộng hoặc không đáng tin cậy, nơi khả năng đánh chặn thông tin đăng nhập dễ xảy ra hơn. Khi đánh giá các nhà cung cấp VPN, hãy tìm các chính sách không ghi nhật ký đã được kiểm toán độc lập; các dịch vụ như CyberGhost và Surfshark đều đã trải qua các cuộc kiểm toán không ghi nhật ký do Deloitte thực hiện, mang lại cho người dùng cơ sở đã được bên thứ ba xác minh để tin tưởng vào các tuyên bố về quyền riêng tư của họ.

Điểm rộng hơn là phòng thủ theo chiều sâu rất quan trọng. Trình quản lý mật khẩu bảo vệ thông tin đăng nhập của bạn. 2FA bảo vệ tài khoản của bạn ngay cả khi thông tin đăng nhập bị rò rỉ. VPN giới hạn nguy cơ bị lộ ở cấp độ mạng. Không một công cụ đơn lẻ nào có thể bao quát mọi mối đe dọa.

Điều này có ý nghĩa gì với bạn

Nếu bạn là khách hàng của LastPass, kho mã hóa mật khẩu của bạn dường như vẫn an toàn dựa trên những gì công ty đã tiết lộ. Tuy nhiên, thông tin liên hệ của bạn, bao gồm tên, số điện thoại, email và địa chỉ thực, có thể đã nằm trong tay kẻ tấn công. Dữ liệu đó kéo theo những hậu quả thực tế.

Hãy cảnh giác với các email lừa đảo đề cập đến tài khoản LastPass hoặc lịch sử hỗ trợ của bạn, vì kẻ tấn công giờ đã có đủ chi tiết để tạo ra những thông điệp thuyết phục. Đừng nhấp vào liên kết trong các email không mong muốn tự xưng là từ LastPass. Hãy trực tiếp truy cập trang web hoặc ứng dụng LastPass nếu bạn cần thực hiện bất kỳ hành động nào.

Nếu số điện thoại của bạn nằm trong số dữ liệu bị lộ, hãy liên hệ với nhà mạng di động để thêm mã PIN hoặc mật khẩu cho tài khoản nhằm đề phòng tấn công hoán đổi SIM. Đây là bước nhiều người bỏ qua cho đến khi quá muộn.

Các điều cần làm cụ thể:

  • Bật ngay 2FA cho tài khoản LastPass và bất kỳ tài khoản có giá trị cao nào khác, tốt nhất là sử dụng ứng dụng xác thực thay vì SMS.
  • Hoài nghi với bất kỳ liên hệ không mong muốn nào đề cập đến tài khoản LastPass của bạn, dù qua email, điện thoại hay tin nhắn.
  • Liên hệ với nhà mạng di động để thêm khóa SIM hoặc mã PIN tài khoản nếu số điện thoại của bạn đã bị lộ.
  • Rà soát những dịch vụ bên thứ ba nào có quyền truy cập vào tài khoản của bạn và thu hồi mã thông báo OAuth hoặc các ứng dụng đã kết nối mà bạn không còn dùng nữa.
  • Cân nhắc sử dụng VPN trên các mạng công cộng để giảm nguy cơ bị lộ ở cấp độ mạng, đặc biệt khi truy cập vào các tài khoản nhạy cảm.

Vụ vi phạm LastPass qua Klue là một trường hợp điển hình cho thấy tại sao môi trường đe dọa hiện đại đòi hỏi nhiều lớp bảo vệ chồng chéo. Không sản phẩm hay nhà cung cấp đơn lẻ nào có thể ngăn chặn mọi vi phạm, nhưng những người dùng áp dụng phòng thủ theo lớp sẽ khó bị khai thác hơn đáng kể.