密码管理器LastPass主密码泄露

近日，知名密码管理器LastPass的大量用户报告账户主密码发生泄露，LastPass用户收到有人试图使用主密码从未知位置登录其帐户的电子邮件警告。

LastPass的电子邮件安全通知还提到登录尝试已被阻止，因为它们是从全球陌生的地方进行的。

“有人刚刚使用您的主密码尝试从我们无法识别的设备或位置登录您的帐户，请确认是否您本人”登录警报警告说（下图）。

凭证填充攻击？

LogMeIn全球公关/AR高级总监Nikolett Bacso-Albaum表示：“LastPass调查了最近有关异常登录尝试被阻止的报告，并确定该活动与常见的bot活动有关，其中恶意或不良行为者试图访问用户帐户，使用从第三方数据泄露中获得的电子邮件地址和密码。”

“重要的是，没有任何迹象表明帐户已成功访问或LastPass服务被未经授权的一方以其他方式入侵。我们定期监控此类活动，并将继续采取旨在确保LastPass的措施，LastPass的用户，他们的数据仍然受到保护，”Bacso-Albaum补充道。

但是，收到安全警告的用户表示，他们的密码是LastPass独有的，并未在其他地方使用。

虽然LastPass没有分享有关这些凭据填充尝试背后的威胁行为者如何进行的任何详细信息，但安全研究人员Bob Diachenko表示，他最近在查看Redline Stealer恶意软件日志时发现了数千个LastPass账号。

安全专家建议LastPass用户启用多重身份验证以保护他们的帐户，即使他们的主密码已被泄露也不至于造成重大损失。

两年前，也就是2019年9月，LastPass曾修复了密码管理器Chrome扩展程序中的一个安全漏洞，该漏洞允许攻击者窃取上次用户登录网站的账户凭据。