LastPass, nuovi requisiti più forti per la master password dopo le violazioni subite

Dopo le critiche per non aver applicato standard di sicurezza sufficientemente elevati, LastPass ha annunciato nuove misure volte a rafforzare la protezione delle password principali utilizzate per proteggere i vault degli utenti.

Utilizzata da oltre 33 milioni di persone in tutto il mondo, l'app rappresenta una delle migliori soluzioni per la gestione delle password ma è stata vittima di due gravi violazioni di sicurezza nel 2022 che hanno permesso agli hacker di accedere al codice sorgente dell’azienda e di rubare i dati dei vault crittografati dei clienti.

LastPass impone master password da almeno 12 caratteri su tutti gli account

Sebbene LastPass abbia confermato che le cassaforti rubate erano rese sicure dall'uso di password principali complesse, la realtà era che agli account più vecchi era ancora permesso utilizzare password deboli con meno di 12 caratteri, contravvenendo alle best practice di sicurezza dell’azienda stessa. Ora, dopo mesi di critiche per non aver applicato regole di sicurezza sufficientemente rigorose, LastPass sta finalmente imponendo a tutti i suoi utenti di utilizzare password principali complesse di almeno 12 caratteri. L'obbligo è stato applicato gradualmente a partire da aprile 2022 per i nuovi account e il ripristino delle password, ma tutti gli account preesistenti saranno coinvolti nella novità solo entro la fine di gennaio.

Inoltre, LastPass controllerà anche qualsiasi nuova master password rispetto a un database di credenziali violate per garantire che non siano già state esposte in precedenti violazioni di dati. Se viene rilevata una corrispondenza, agli utenti verrà chiesto di scegliere una password diversa. Queste nuove misure arrivano troppo tardi per alcuni, poiché si ritiene che gli hacker stiano attualmente decifrando le password principali violate per accedere ai vault e rubare prevalentemente passphrase, credenziali e chiavi private dei wallet di criptovalute. Lo scorso ottobre è stato stimato che sono stati trafugati circa 4,4 milioni di dollari in criptovalute da più di 25 vittime all'interno di furti mirati resi possibili dalle violazioni di LastPass.

Sebbene accolte con favore, queste modifiche sollevano interrogativi su perché non siano state applicate prima, specialmente dopo che LastPass stessa ha più volte ammesso che il requisito dei 12 caratteri era già l'impostazione predefinita consigliata dal 2018. In ogni caso, gli utenti dovrebbero prestare attenzione alle e-mail dell'azienda sui nuovi requisiti per le master password, assicurandosi di aggiornare i propri account il prima possibile.