密碼管理軟件 LastPass遭黑客入侵

密碼管理軟件 LastPass遭黑客入侵




8月25日，LastPass在官方博客發文稱，最近一名黑客在侵入其系統后竊取了源代碼和專有信息。不過他們認為沒有任何密碼被盜，用戶不需要采取行動來保護他們的賬戶。

Lastpass是一個在線密碼管理器和頁面過濾器，采用了強大的加密算法，自動登錄/云同步/跨平臺/支持多款瀏覽器，全球用戶數超過3300萬。

LastPass CEO卡里姆圖巴稱，黑客通過一個受感染的開發者帳戶獲得了對LastPass開發環境部分的訪問權限，并獲取了部分源代碼和一些專有的LastPass技術信息。我們的產品和服務正常運行。 ”

為了應對這一事件，LastPass部署了遏制和緩解措施，并聘請了一家領先的網絡安全和取證公司。

LastPass強調，此事件并未泄露用戶密碼。我們從不存儲或知道您的主密碼。我們采用行業標準的零知識架構，確保LastPass永遠不會知道或訪問我們客戶的主密碼?！?

黑客使用 AiTM 監控 Microsoft 365 帳戶實施 BEC 詐騙

近日，有安全研究員在一項新的商業電子郵件泄露 (BEC) 攻擊活動中，發現攻擊者使用中間攻擊 (AiTM) 網絡釣魚網站作為跳板，入侵目標企業高管的 Microsoft 365 帳戶，其中不乏受 MFA 保護的帳戶。

據介紹，通過訪問大型組織的 CEO 或 CFO 等高級員工的賬戶，攻擊者可以控通信并在適當的時候回復電子郵件，從而將大筆交易轉移到他們的銀行賬戶。這是典型的商業電子郵件泄露攻擊，攻擊者在最后時刻從受感染賬戶發送電子郵件，請求交易的授權成員更改銀行賬戶目的地。

Mitiga 研究人員在一次事件響應案例中發現了這一新活動，并報告稱它現在很普遍，針對每筆高達數百萬美元的交易。

在這些攻擊中發送的網絡釣魚電子郵件告訴目標，他們通常發送付款的公司銀行賬戶由于財務審計而被凍結，并附有新的付款指令，這些指令會切換到被指控的子公司的賬戶。然而，這個新的銀行賬戶歸竊取付款的威脅者所有。

為了欺騙收件人，攻擊者劫持電子郵件線程并使用域名仿冒域名，這些域名迅速作為真實的域名傳遞給受害者知道的抄送法律代表，讓他們參與交換

俄媒：俄央行將于近期組織各銀行舉行網絡安全演習

據俄羅斯衛星社24日報道，俄央行信息安全部主任瓦季姆·烏瓦羅夫接受采訪時表示，俄羅斯各銀行將于近期舉行網絡安全演習，場景包括使用外國軟件和設備的風險。

烏瓦羅夫提醒說，央行自2020年起就經常與金融市場參與單位舉行網絡安全演習，現在已經設計了新的場景和應對威脅的新方法。

他還指出：“我們將在近期使用更新后的威脅模型進行演習?！?br />
烏瓦羅夫補充說，使用外國軟件、設備和服務會對業務可靠性的保障造成影響，央行不能不考慮讓其退出俄羅斯市場。他還說：“因此，我們計劃在網絡安全演習期間與各金融單位共同查明此類風險?！?br />