פריצת LastPass זעזעה מיליוני משתמשים: האם תוכנות ניהול סיסמאות בטוחות?

תוכנות ניהול סיסמאות נחשבות לאחת הכלים החזקים ביותר להגנה דיגיטלית, שכן הן משחררות את המשתמשים מהכאוס של שמירת סיסמאות על ניירות או קבצים לא בטוחים.

אך; מה קורה כאשר הכלים הללו עצמם נפרצים? והאם ניתן לשחזר את האמון בהם?

שאלה זו הפכה היום למוקד עניין עבור מיליוני משתמשי LastPass, לאחר אחת מתקריות הפריצה החמורות ביותר בהיסטוריה של החברה, אשר פגעה בנתונים אישיים של משתמשים פרטיים וחברות, והעלתה דיון רחב על מידת הבטיחות של שירותים אלו.

* פריצה מאיימת על מיליונים

נפרצה LastPass בפריצה אבטחה גדולה, שכללה כ- 20מיליון משתמשים פרטיים ו-100אלף חברות.

הנתונים שנחשפו כללו שמות משתמשים, כתובות דוא"ל, מספרי טלפון, וקישורים לאתרים ששמרו בתוך השירות, לפי דיווח שפורסם באתר Slashgear.

למרות שסיסמאות עצמן לא פוענחו בזכות מודל ההצפנה הידוע בשם “ZeroKnowledge”, האירוע נחשב לאזהרה חמורה לכל מי שתלוי בLastPass או שוקל להשתמש בו, ודחף חלק מהמשתמשים להעביר את הנתונים שלהם לחלופות אחרות.

* קנס מוגבל وسط ביקורות רחבות

בצעד סמלי, הטיל משרד המידע בממלכה המאוחדת קנס בסך 1.2 מיליון לירות שטרלינג (כ- 1.6מיליוןדולרים) על LastPass.

הקנס תואר כצנוע בהשוואה לגובה הנזק, שכן הוא שווה לפחות מדולראחד לכל יותר ממיליון משתמשים שנפגעו בתוך בריטניה בלבד.

* שתי תקריות רצופות ולא אחת

הדבר החמור יותר הוא שהפריצה לא הייתה תקרית בודדת, אלא סדרה של כישלונות אבטחה:

• התקרית הראשונה: הצליח תוקף לגשת למחשב עבודה של אחד מעובדי LastPass, ולהיכנס לסביבת הפיתוח הפנימית, מבלי לדלוף נתוני משתמשים באותו הזמן.

• התקרית השנייה: התקיף המפרץ עובד בכיר דרך פגם ידוע בשירות סטרימינג חיצוני, תוך שימוש בתוכנה זדונית לגניבת הסיסמה, תוך עקיפת האימות הכפול, לפני שהגיע למסד הנתונים של הגיבויים.

* בעיה מערכתית ולא רק טעות

מומחי אבטחת מידע אישרו כי מה שקרה לא היה תוצאה של טעות אחת, אלא צבר של פגמים אבטחתיים שאפשרו גישה לנתונים רגישים.

טיפול בבעיה המערכתית דורש בנייה מחדש כוללת של התשתית האבטחתית, ולא רק עדכונים מהירים.

והדבר שמעורר דאגה רבה הוא שהאירוע התרחש בשנת 2022, בעוד שהקנסות הוטלו בפועל בדצמבר 2025, מה שמעורר שאלות לגבי היקף השיפורים האבטחתיים שהושגו בפועל במהלך השנים הללו.

* האם LastPass עדיין אפשרות בטוחה?

למרות שסיסמאות לא פוענחו, האירוע העלה מחדש את השאלה הבסיסית:

האם הצפנה בלבד מספיקה לבניית אמון?

עבור רבים, התשובה הפכה למורכבת יותר, והיא עשויה לדחוף משתמשים לחשוב פעמיים לפני שימסרו את מפתחות חייהם הדיגיטליים לכל שירות, לא משנה מהי הפופולריות שלו.