LastPass 确认在 Klue 供应链攻击中发生数据泄露
LastPass 证实其遭遇数据泄露，原因是第三方供应商 Klue 遭受供应链攻击。攻击者利用 Klue 的访问权限窃取了部分 LastPass 客户的元数据，包括用户名、电子邮件地址和 IP 地址。LastPass 表示主密码和加密保险库数据未受影响，并已通知受影响的客户。
背景速读
- LastPass 是知名密码管理器（存储用户各类账户密码的云端服务），2022年底曾发生重大数据泄露，导致用户加密保险库数据和内部源代码被盗。
- Klue 是一家企业竞争情报平台，LastPass 的营销团队使用其服务。这次攻击并非直接入侵 LastPass 自身系统，而是通过第三方供应商 Klue 的漏洞（供应链攻击）获取访问权限。
- 供应链攻击（supply chain attack）是一种常见手法：攻击者不直接攻击目标，而是先攻破目标使用的第三方服务或软件，再借道渗透目标内部网络。
- 此次泄露的数据包括 LastPass 在 Klue 平台上的营销资料（如定价策略、客户沟通话术等），不涉及用户密码库或敏感凭证。LastPass 称客户账户数据未受影响。