Attenzione a LastPass, possibile violazione di sicurezza per le master password [AGGIORNATA]

Gli utenti di LastPass stanno segnalando tentativi di accesso al proprio account con l'uso di master password corrette provenienti da varie località, differenti da quelle in cui si trovano gli utenti, il che fa sospettare una possibile violazione di sicurezza per il servizio di gestione delle password.

Le segnalazioni si riscontrano sul forum di Hacker News, dove diversi utenti affermano che le loro master password di LastPass sembrano essere compromesse. Anche su Twitter iniziano a circolare le prime segnalazioni. Attualmente non si conosce il modo in cui siano circolate le password, ma tra gli utenti che si ritrovano vittime in questa situazione stanno emergendo alcuni elementi ricorrenti.

La maggior parte delle violazioni sembra infatti essere a carico di account obsoleti, e cioè non utilizzati da diverso tempo e con password mai aggiornate. Al momento però non è chiaro quanto estesa possa essere la violazione e se LastPass sia effettivamente sotto attacco. Dati i contorni che stanno emergendo, è possibile che si tratti di una violazione avvenuta in precedenza, anche molto in là nel tempo.

LastPass non ha ancora rilasciato una posizione ufficiale nel momento in cui scriviamo, ma nel frattempo il consiglio che si può dare agli utenti del servizio LastPass è quello di cambiare tutte le loro password e la master password a protezione del servizio, abilitare l'autenticazione a due fattori e prestare attenzione ad eventuali accessi sospetti ai propri account.

Aggiornamento 28-12-2021, ore 20:03 - Un portavoce di LastPass ha rilasciato questa nota ufficiale: "LastPass ha esaminato le recenti segnalazioni di tentativi di accesso bloccati e riteniamo che l'attività sia correlata ad un tentativo di "credential stuffing", in cui un malintenzionato tenta di accedere agli account utente (in questo caso, di LastPass) utilizzando indirizzi e-mail e password ottenuti da violazioni a terze parti relative ad altri servizi non affiliati. È importante sottolineare che, al momento, non abbiamo alcuna indicazione che l'accesso agli account sia stato eseguito correttamente o che il servizio LastPass sia stato altrimenti compromesso da una parte non autorizzata. Monitoriamo regolarmente questo tipo di attività e continueremo ad adottare misure volte a garantire che LastPass, i suoi utenti e i loro dati rimangano protetti e al sicuro".