Populaire wachtwoordmanager heeft wederom te maken met een datalek

Gebruikers van LastPass hebben wederom slecht nieuws gekregen. Het bedrijf achter de populaire wachtwoordmanager heeft laten weten dat er op 23 juni wederom een datalek is geweest, waarbij de gegevens van klanten zijn gestolen. 

De hack was dit keer niet gericht op LastPass zelf, maar op een externe partner. Het gaat om Klue, een platform voor marktonderzoek dat door LastPass wordt gebruikt voor verkoop en de ondersteuning van de klantenservice. 

Cybercriminelen zijn de systemen van Klue binnengedrongen en namen daar zogeheten OAuth-tokens mee. Dat zijn digitale toegangssleutels waarmee apps onderling kunnen communiceren zonder dat er telkens een wachtwoord nodig is. Dat gaf dan weer toegang tot de Salesforce-omgeving van LastPass en daar is de buit gevonden. 

Welke LastPass-gegevens liggen nu op straat? 

LastPass is in de essentie een wachtwoordmanager en die wachtwoorden zijn gelukkig nog veilig. Wel liggen de volledige namen, telefoonnummers, e-mailadressen en postadressen van klanten op straat. Daarnaast zijn ook de tickets van de klantenservices buitgemaakt en dat ligt wat gevoeliger. Daar staat doorgaans specifieke context over accountproblemen of IT-structuren van bedrijven. 

In 2022 had LastPass ook al te maken met een datalek, toen was de wachtwoordmanager zelf het slachtoffer. Cybercriminelen gingen er toen vandoor met gehele wachtwoordkluizen van gebruikers vol met wachtwoorden, notities, persoonlijke gegevens en creditcardnummers.