LastPass 在2022年遭遇两次黑客攻击——第二次泄露了密码库

2022年8月，最受欢迎的密码管理器之一 LastPass 披露，黑客入侵了其内部系统并窃取了源代码。公司最初向用户保证没有客户数据受到影响。

2022年11月，LastPass 披露了第二次更严重的入侵：黑客利用第一次入侵获得的信息，访问了第三方云存储服务，并窃取了加密的客户密码库。这些密码库包含用户加密的密码、网站地址和其他敏感数据。

这次入侵特别具有破坏性，因为 LastPass 的核心价值就是安全：用户信任该服务来保护他们最敏感的凭证。公司因最初淡化第一次入侵、对第二次入侵披露迟缓，以及未能保护好云存储备份而受到批评。该案例说明，安全公司的被入侵比其他任何公司的被入侵更具破坏性，因为其产品本身就是信任。

第二次入侵利用第一次的信息从云存储中窃取了加密的密码库，摧毁了用户信任和品牌。

第一次入侵（2022年8月）泄露了源代码，最初被淡化。

第二次入侵（2022年11月）泄露了加密的客户密码库。

LastPass 的价值主张是安全；这次入侵动摇了其核心产品。

公司因披露缓慢以及备份保护不足而受到批评。

安全公司被入侵是一个矛盾。LastPass 卖的是信任，黑客偷走的是信任。当你的产品是安全时，入侵后的透明就是产品。

LastPass 受到安全研究人员的批评，并失去了用户给竞争对手（1Password, Bitwarden）。公司彻底改革了其安全基础设施。这一案例引发了对密码管理器安全性和集中存储凭证风险的更广泛讨论。