ATTACCHI · VIOLAZIONE DI DATI PERSONALI
LastPass, agosto 2022: il gestore di password perde i vault dei clienti
Ad agosto 2022 attaccanti hanno violato due volte LastPass: prima un portatile di lavoro, poi il computer di casa di un ingegnere, attraverso un programma multimediale non aggiornato. Con le chiavi prese all'ingegnere hanno scaricato i backup dei vault degli utenti; nel 2025 l'autorità britannica ICO ha multato l'azienda per 1,2 milioni di sterline.
- Vittima
- LastPass e i suoi utenti
- Settore
- Gestore di password
- Paese
- Stati Uniti, con utenti in tutto il mondo
- Data
- agosto 2022
- Categoria
- Violazione di dati personali
- Causa
- Vulnerabilità nota non corretta
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi · Sanzioni e indagini
Le cause in breve
- Primo accesso. Un portatile di lavoro violato ha portato al furto di 14 archivi di codice sorgente (The Register).
- Programma non aggiornato. Sul computer di casa di un ingegnere DevOps una vulnerabilità di Plex Media Server (CVE-2020-5741) ha permesso di installare un keylogger e catturare la password principale (The Register).
- Accessi troppo ampi. L'ingegnere era uno dei quattro con le chiavi dei backup; l'ICO ha criticato anche la possibilità di unire conti personali e di lavoro sotto la stessa password (Cybersecurity Dive; The Register).
L'impatto
- Copiati i backup dei vault, con password cifrate, nomi utente e indirizzi dei siti in chiaro (Cybersecurity Dive; The Register).
- Esposti nomi, e-mail, indirizzi IP, telefoni e indirizzi degli utenti (The Register).
- Fino a 1,6 milioni di utenti britannici coinvolti; multa ICO di 1,2 milioni di sterline a dicembre 2025 (The Register).
- Nessuna prova che le password siano state decifrate, secondo l'ICO (The Register).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense su più mesi, consulenza legale e comunicazione agli utenti sono il primo costo.
- Ripristino di dati e sistemiRispondeLa sostituzione di chiavi, segreti e accessi dell'ambiente cloud rientra nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeNotifiche e assistenza a milioni di utenti nel mondo rientrano in pieno nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeLe richieste degli utenti per i dati esposti, e le possibili cause collettive, rientrano nella responsabilità.
- Frode e social engineeringNon pertinenteEventuali furti dai conti degli utenti sono danni degli utenti, non dell'assicurato.
Esclusioni e limiti da controllare
- Sanzioni. La multa dell'ICO è assicurabile solo dove la legge lo permette; nel Regno Unito di solito non lo è.
- Dispositivi personali. Alcune polizze non coprono un attacco partito da un computer personale non gestito dall'azienda.
- Danni degli utenti. Le perdite degli utenti arrivano all'assicurato solo come richieste di risarcimento.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il prodotto stesso dell'azienda è la custodia di segreti: la violazione colpisce la fiducia e porta sanzioni e richieste.
Nessun segnale di cumulo.