Help! LastPass is gehacked! En nu?!

Je kunt het (zeker als LastPass gebruiker) bijna niet gemist hebben… Momenteel volop in het nieuws, LastPass is gehacked. Wat is er gebeurd en wat moet ik nu doen?! Twee goede vragen waar we in dit bericht antwoord op willen geven.

Eigenlijk is het recente nieuws (van 23 december 2022) dat wachtwoorden zijn gestolen niet helemaal nieuw. Het is aanvullende informatie naar aanleiding van de hack van afgelopen augustus. Toen werd duidelijk dat er stukken broncode door (oud) medewerkers was gestolen. Nu blijkt dat er wel data uit de kluis gestolen blijkt te zijn. Van wie wel en van wie niet is niet duidelijk, wel geven ze aan dat het om een grote hoeveelheid gaat. Het gaat om gebruikersnamen, wachtwoorden en notities (geen creditcard/ betaalpas gegevens, die staan in een andere omgeving).

De kans dat jouw gegevens buitgemaakt zijn is best wel groot. Het goede nieuws is wel dat LastPass al deze gegevens versleuteld en alleen met behulp van je hoofdwachtwoord te achterhalen zijn. Dit zullen ze zeker proberen, dat doen ze met behulp van brute-force technieken (met heel veel rekenkracht heel veel pogingen doen (raden)). Alleen dan hebben ze iets aan de gestolen data. Ter illustratie, een wachtwoord van 12 karakters (cijfers, letters en leestekens) kost minstens 34000 jaar.  Wat ze ook zullen proberen is om eerder gestolen wachtwoorden (te koop op het DarkWeb, zie haveibeenpwn.com) toe te passen als hoofdwachtwoord. Ten overvloede, het hebben van een goed hoofdwachtwoord is dus wel heel erg belangrijk. 

Uiteraard is het vervangen van al je wachtwoorden en je hoofdwachtwoord de meest veilige keuze, maar ook de meest bewerkelijke. Daarom drie tips.

1. Controleer of je hoofdwachtwoord wel uit minimaal 12 karakters bestaat (is inmiddels al een tijdje verplicht), het kan geen kwaad om deze sowieso te wijzigen. Zeker wanneer je er niet 100% zeker van bent dat je dit wachtwoord nergens anders gebruikt.

2. Verander de wachtwoorden van portalen waar nog geen MFA/ tweetrapsauthenticatie op geactiveerd is. Van deze portalen is het wel verstandig om het wachtwoord te wijzigen

3. Wees extra alert op phishing mails en valse MFA toegangsmeldingen

Moet ik wel met LastPass blijven werken?! Vooropgesteld dat het hebben van een wachtwoordmanager per definitie heel veel beter is dan geen (lees, veel dezelfde wachtwoorden). Maar moet je wel bij LastPass blijven, of is het een moment om eens naar een alternatieve aanbieder als DashLane of 1Password te kijken?

Uiteindelijk is en blijft het feit dat bedrijven van wachtwoordmanagers hun bestaansrecht ontlenen aan de beveiliging van jouw gebruikersnamen en wachtwoorden. Echter is 100% veilig een utopie. Dat kunnen we dagelijks in de krant lezen en op het journaal zien. De transparantie werkwijze en communicatie, tezamen met de technische inrichting van LastPass (het niet opslaan van het hoofdwachtwoord) is nog steeds waarom wij voor LastPass kiezen en het gebruiken.

Heb je toch nog vragen? Neem gerust contact met ons op!