Cách bảo vệ bạn khỏi mối đe dọa hack LastPass mới

2024 Tác giả: Malcolm Clapton | [email protected]. Sửa đổi lần cuối: 2023-12-17 04:15

Hôm qua, một cách thực sự đã được phát hiện để đánh cắp dữ liệu từ trình quản lý mật khẩu LastPass phổ biến. Chúng tôi khuyên bạn nên đọc bài viết này để không rơi vào bẫy.

Chúng tôi sử dụng nhiều dịch vụ trực tuyến và ứng dụng web, mỗi dịch vụ yêu cầu thông tin đăng nhập và mật khẩu khác nhau cho mục đích bảo mật. Không thể giữ tất cả chúng trong đầu bạn, đó là lý do tại sao các trình quản lý mật khẩu phổ biến. Chúng cung cấp khả năng lưu trữ đáng tin cậy và sử dụng thuận tiện thông tin đăng nhập và mật khẩu không chỉ cho các dịch vụ trực tuyến mà còn cho các hệ thống thanh toán, tài khoản ngân hàng, v.v. Do đó, việc rò rỉ hoặc bẻ khóa một trình quản lý mật khẩu như vậy có thể trở thành một vấn đề lớn đối với nhiều người dùng.

Một trong những ứng dụng phổ biến nhất thuộc loại này là LastPass. Đây là một giải pháp thực sự tuyệt vời đã đứng trước thử thách của thời gian và nhiều cuộc tấn công của hacker. Tuy nhiên, ngày hôm qua, chuyên gia bảo mật máy tính Sean Cassidy đã phát hiện ra khả năng tấn công lừa đảo LastPass. Anh khéo léo đặt tên cho nó là LostPass (mật khẩu bị mất).

Tóm lại, lỗ hổng được tìm thấy trông như thế này. Đầu tiên, kẻ tấn công dụ bạn đến trang web của hắn, trang này hiển thị thông báo giả mạo (!) Rằng phiên của bạn đã hết hạn và phải đăng nhập lại. Bạn có thể đã thấy các thông báo tương tự từ LastPass.

Vì thông báo là giả, nhấp vào nút Thử lại sẽ đưa bạn đến một trang được chế tạo đặc biệt trông giống hệt như biểu mẫu đăng nhập và mật khẩu LastPass tiêu chuẩn. Nó thậm chí sẽ có địa chỉ gần giống như các trang dịch vụ trình duyệt được mở bởi các tiện ích mở rộng đã cài đặt thường có. Ngoại trừ một chi tiết nhỏ mà tôi đã đánh dấu trong ảnh chụp màn hình. Tôi chắc chắn rằng hầu hết người dùng sẽ không để ý đến chuyện vặt vãnh như vậy.

Tiếp theo, bạn điền tên người dùng và mật khẩu của mình vào trang này để đăng nhập vào LastPass, và chúng ngay lập tức rơi vào tay hacker. Kết quả là, sau này có toàn quyền truy cập vào tất cả các trang web và thông tin đăng nhập của bạn. Cuộc tấn công hoạt động ngay cả khi bạn đã bật xác thực hai yếu tố, chỉ có điều chuỗi hành động của tin tặc sẽ tiến thêm một bước nữa. Bạn có thể đọc thêm về cách hoạt động của LostPass (bằng tiếng Anh).

Tất nhiên, bạn tự hỏi làm thế nào bạn có thể bảo vệ mình khỏi mối nguy hiểm này. Cho đến khi các nhà phát triển của LastPass thực hiện các bước để ngăn chặn các cuộc tấn công lừa đảo như vậy, người dùng có thể tạm thời vô hiệu hóa tiện ích mở rộng trình duyệt của dịch vụ này. Có, điều này thật bất tiện và sẽ buộc bạn phải sao chép thủ công các mật khẩu cần thiết từ trang web LastPass. Một lựa chọn cấp tiến hơn là tìm một giải pháp thay thế tương đương để lưu trữ mật khẩu và dữ liệu bí mật.

Bạn vẫn đang sử dụng LastPass hay bạn đã chuyển sang một trình quản lý mật khẩu khác?