LastPass Təchizat Zənciri Hücumunda Məlumat Sızmasını Təsdiqlədi

Nə Baş Verdi

Dünyanın ən populyar parol idarəetmə platformalarından biri olan LastPass, 23 iyun 2026-cı il tarixində verdiyi bir açıqlama ilə təchizat zənciri hücumu nəticəsində müştəri məlumatlarının bir hissəsinə icazəsiz girişin təmin edildiyini təsdiqlədi. Hadisə, LastPass-ın marketinq və satış komandaları tərəfindən istifadə edilən üçüncü tərəf bazar araşdırması platforması olan Klue-nun sistemlərinin pozulması ilə başladı. LastPass, hadisəni ilk olaraq 12 iyunda Klue tərəfindən məlumatlandırıldıqdan sonra fərq etdiyini və dərhal hərtərəfli bir araşdırmaya başladığını bildirdi.

Hücum birbaşa LastPass-ın öz infrastrukturunu və ya parol anbarlarını hədəf almayıb. Bunun əvəzinə, kiber cinayətkarlar Klue platformasını bir tramplin kimi istifadə ediblər. Bu cür hücumlar bir şirkətin təhlükəsizlik zəncirindəki ən zəif həlqəni, yəni daha az təhlükəsiz ola biləcək iş ortaqlarını və ya xidmət təminatçılarını hədəf alması ilə tanınır. LastPass hadisəsində, təcavüzkarların hədəfi Klue-nun əlində olan və müştərilərinin digər sistemlərə (bu vəziyyətdə Salesforce) girişini təmin edən autentifikasiya açarları idi. Şirkət, açıqlamasında məhsullarının, xidmətlərinin və əsas infrastrukturunun bu hadisədən təsirlənmədiyini və ən əsası, müştəri parol anbarlarının təhlükəsiz qaldığını xüsusilə vurğuladı. Bu, istifadəçilərin master parollarının və anbarlarında saxlanılan həssas məlumatların təhlükəyə atılmadığı deməkdir. Lakin sızma yenə də əhəmiyyətli şəxsi məlumatları ehtiva edir və bu vəziyyət istifadəçilər üçün ciddi risklər yarada bilər.

Ələ Keçirilən Məlumatlar

LastPass, kiber təcavüzkarların Klue-dan oğurladıqları autentifikasiya məlumatları ilə şirkətin Salesforce mühitinə daxil olduqlarını və buradan müəyyən müştəri məlumatlarını kopyaladıqlarını açıqladı. Sızdırılan məlumatların xüsusiyyəti, istifadəçilərin birbaşa əlaqə və şəxsiyyət məlumatlarını əhatə edir. Bu vəziyyət, gələcəkdəki mümkün fişinq və sosial mühəndislik hücumları üçün təcavüzkarlara dəyərli bir mənbə təqdim edir. Şirkətin açıqlamasına görə, sızdırılan məlumatlar bunlardır:

• Müştəri adları: İstifadəçilərin tam adları, təcavüzkarların şəxsə özəl və daha inandırıcı fişinq e-poçtları hazırlamasına imkan verir.
• Telefon nömrələri: Səsli fişinq (vishing) və ya SMS əsaslı fırıldaqçılıq (smishing) hücumları üçün istifadə edilə bilər.
• E-poçt ünvanları: Hücumların əsas əlaqə kanalıdır və saxta LastPass bildirişləri göndərmək üçün idealdır.
• Fiziki ünvanlar: Nadir hallarda da olsa, daha mürəkkəb fırıldaqçılıq ssenariləri və ya şəxsiyyət oğurluğu üçün istifadə edilə bilər.
• Dəstək müraciəti məlumatları: İstifadəçilərin əvvəllər yaşadığı problemləri ehtiva edən bu məlumatlar, təcavüzkarların LastPass dəstək komandası kimi davranaraq etibar qazanmasını asanlaşdıra bilər.
• Satış/CRM ilə əlaqəli məlumatlar: Şirkətlərin LastPass ilə olan ticari əlaqələrinə dair məlumatlar, korporativ müştərilərə yönəlmiş hədəfli hücumlarda istifadə edilə bilər.

LastPass, müştəri parol anbarlarını qoruyan master parolların (master password) və anbarlardakı digər məlumatların bu sızmadan təsirlənmədiyini bir daha təsdiqlədi. Həmçinin, müştəri zəngləri və e-poçtlarını ehtiva edən Gong sistemləri ilə əlaqəli məlumatlara giriş edildiyinə dair bir dəlil tapılmadığı da bildirildi. Yenə də, şəxsi məlumatlarınızın başqa sızmalarda yer alıb-almadığını yoxlamaq üçün bir Məlumat Sızması Sorğusu vasitəsindən istifadə etmək hər zaman yaxşı bir fikirdir.

Hücum Necə Həyata Keçirildi

Bu hadisə, mürəkkəb bir təchizat zənciri hücumunun tipik bir nümunəsidir. Hücumun arxasında olduğu iddia edilən "Icarus" adlı qrup, birbaşa LastPass-ı deyil, onun iş ortağı olan Klue-nu hədəf aldı. Hücum zənciri bu addımlarla həyata keçirildi:

1. Klue İnfrastrukturunun Pozulması: Təcavüzkarlar, Klue-nun infrastrukturuna bir inteqrasiya xidməti üçün istifadə edilən köhnə və təhlükəsizliyi zəif etimadnamələr (legacy credentials) vasitəsilə sızdılar. Bu ilk addım onlara sistem daxilində bir dayaq nöqtəsi təmin etdi.
2. OAuth Tokenlərinin Oğurlanması: Sistemlərə sızan təcavüzkarlar, Klue-nun müştəriləri adından üçüncü tərəf xidmətlərə (məsələn, Salesforce və Gong) qoşulmaq üçün istifadə etdiyi OAuth tokenlərini hədəf aldılar. OAuth, bir tətbiqin başqa bir tətbiq adından müəyyən hərəkətləri həyata keçirməsinə icazə verən bir avtorizasiya standartıdır. Bu tokenlər, parollar olmadan sistemlər arası girişi təmin edən rəqəmsal açarlar kimidir.
3. LastPass Salesforce Mühitinə Giriş: Icarus qrupu, oğurladığı LastPass-a aid OAuth tokenini istifadə edərək, şirkətin müştəri məlumatlarını idarə etdiyi Salesforce mühitinə səlahiyyətli bir tətbiq kimi giriş əldə etdi. Bu giriş sayəsində yuxarıda sadalanan müştəri məlumatlarını xaricə sızdırdılar.

Hücumu öz üzərinə götürən Icarus qrupu, bu üsulla təkcə LastPass-ı deyil, Klue-nun digər bir çox müştərisini də hədəf aldı. Qrup, ələ keçirdiyi məlumatlardan istifadə edərək bir şantaj kampaniyasına başladığını iddia edir. Bu cür hücumlar, şirkətlərin yalnız öz təhlükəsizliklərini deyil, eyni zamanda bütün iş ortaqlarının təhlükəsizlik mövqeyini də nəzərə almalı olduqlarını bir daha göstərir. Aktual Məlumat Sızması Xəbərləri təchizat zənciri hücumlarının getdikcə artan bir təhdid olduğunu ortaya qoyur.

Kimlər Təsirləndi

Sızmadan birbaşa təsirlənənlər, yuxarıda göstərilən şəxsi və kommersiya məlumatları LastPass-ın Salesforce sistemində qeydiyyatda olan müştərilərdir. Lakin bu hadisənin əhatə dairəsi LastPass ilə məhdudlaşmır. Hücumun mənbəyi Klue platforması olduğu üçün, bu platformadan istifadə edən bir çox digər tanınmış şirkət də risk altındadır. Icarus qrupunun iddialarına və kiber təhlükəsizlik cəmiyyətindəki hesabatlara görə, Klue sızmasından təsirlənən bəzi digər təşkilatlar bunlardır:

• Recorded Future
• Tanium
• Jamf
• Sprout Social
• Gong
• Insurity

Bu vəziyyət, Klue-dakı təhlükəsizlik boşluğunun nə qədər geniş bir təsir yaratdığını gözlər önünə sərir. Sadalanan hər bir şirkət, öz Salesforce və ya digər inteqrasiya olunmuş sistemlərindəki məlumatların risk altında olub olmadığını müəyyən etmək üçün öz araşdırmasını aparmaq məcburiyyətində qaldı. Bu hadisə, bir xidmət təminatçısındakı tək bir zəifliyin necə bir domino effekti yaradaraq onlarla müştərini təsir edə biləcəyinin konkret bir sübutudur.

Nə Edə Bilərsiniz

LastPass istifadəçilərinin parol anbarları təhlükəsiz olsa da, sızdırılan şəxsi məlumatlar səbəbindən diqqətli olmaları lazımdır. Təcavüzkarlar bu məlumatları sizi aldatmaq üçün istifadə edə bilər. Budur, görməli olduğunuz tədbirlər:

• Fişinq Hücumlarına Qarşı Diqqətli Olun: Adınızı, e-poçt ünvanınızı və telefon nömrənizi bilən təcavüzkarlar, LastPass-dan gəlirmiş kimi görünən son dərəcə inandırıcı saxta e-poçtlar və ya SMS-lər göndərə bilərlər. Bu mesajlarda, "hesabınızda şübhəli bir fəaliyyət aşkarlandı" və ya "parolunuzu sıfırlamalısınız" kimi təcili hiss oyadan ifadələr istifadə edilə bilər. Əsla bu cür mesajlardakı linklərə klikləməyin və ya əlavələri yükləməyin.
• Master Parolunuzu Əsla Paylaşmayın: LastPass və ya başqa heç bir şirkət, sizdən master parolunuzu e-poçt, telefon və ya başqa bir yolla istəməz. Master parolunuz, anbarınızın yeganə açarıdır və yalnız sizə aiddir.
• Rəsmi Əlaqə Kanallarından İstifadə Edin: LastPass ilə əlaqə saxlamağınız lazım gələrsə, yalnız rəsmi veb saytı və ya tətbiqi vasitəsilə təmin edilən dəstək kanallarından istifadə edin.
• Şübhəli Domen Adlarına Diqqət Yetirin: LastPass, təcavüzkarların saxta əlaqə üçün baccarat.com[.]au, robinskitchen.com[.]au və house[.]com.au kimi domen adlarından istifadə edə biləcəyi barədə xəbərdarlıq etdi. Bu və bənzər şübhəli göndəricilərdən gələn e-poçtlara etibar etməyin.

Şirkət Nə Deyir

LastPass, hadisəni öyrəndiyi andan etibarən bir sıra tədbirlər gördüyünü elan etdi. Şirkətin rəsmi açıqlamasına görə atılan addımlar bunlardır:

"12 iyunda, satışa çıxış komandalarımız tərəfindən istifadə edilən və Salesforce və Gong sistemlərimizlə inteqrasiya olunan üçüncü tərəf bazar kəşfiyyatı platforması olan Klue-da (klue.com) baş verən bir hadisədən xəbərdar olduq. Dərhal bir araşdırmaya başladıq və öyrəndik ki, bu hadisənin bir hissəsi olaraq, icazəsiz bir aktor Klue-nun LastPass da daxil olmaqla bir çox müştərisi üçün saxladığı OAuth tokenlərini əldə edə bilib."

Bu açıqlamadan sonra LastPass, aşağıdakı addımları atdığını bildirdi:

• İşçilərin Klue platformasına girişini dərhal deaktiv etdi.
• Sızmadan təsirlənən API/OAuth tokenlərini dərhal ləğv etdi və yenilədi.
• Hadisəni müvafiq hüquq-mühafizə orqanlarına bildirdi.
• Kiber təhlükəsizlik mütəxəssisləri ilə birlikdə hadisənin bütün ölçülərini ortaya çıxarmaq üçün davam edən bir araşdırma aparır.

LastPass, şəffaflıq prinsipi çərçivəsində istifadəçilərini məlumatlandırmağa davam edəcəyini və təhlükəsizlik tədbirlərini artırmaq üçün çalışdığını vurğuladı.

Mənbə

https://www.bleepingcomputer.com/news/security/lastpass-confirms-data-breach-in-klue-supply-chain-attack/