今週のセキュリティニュース：LastPassユーザー、再びデータを盗まれる

- **LastPass**は、パスワードをクラウド上で暗号化して保存する有名なパスワード管理サービス。2022年に大規模なデータ侵害が発生し、顧客の暗号化された金庫データが流出した。 - 今回のニュースは、その2022年の侵害から派生した「二次被害」。ハッカーが当時流出させた顧客データ（暗号化された金庫のコピー）を、家庭用GPUでオフライン解析（ブルートフォース攻撃）することに成功。これにより、マスターパスワードが弱かったユーザーのログイン情報やウェブサイトの認証情報が露呈した。 - 本質的な問題は、LastPassのアーキテクチャ上の判断。ユーザーの暗号化済み金庫データをサーバー上に保持し、その復号鍵（マスターパスワード）のみをユーザー側で管理する「ゼロ知識」モデルを掲げていたが、暗号化された生データ自体が盗まれた場合、ローカルでの総当たり攻撃を防げない構造的欠陥が露呈した。 - この事件は、**パスワードマネージャー業界全体のセキュリティ設計**に対する信頼の問題に発展。1PasswordやBitwardenなど競合にユーザーが流出。また、LastPassの親会社GoTo（旧LogMeIn）の複数サービスにも同様の被害が波及している。