By · Last updated 2026-03-17

블로그로 돌아가기기술

LastPass 침해: 벤더 보안 교훈

LastPass는 사용자 데이터를 암호화했습니다. 볼트는 여전히 유출됐습니다. 이후 60만+ Okta 기록이 뒤따랐습니다. SaaS 보안 사건이 2022~2024년 사이 300% 증가했습니다.

March 17, 20268 분 읽기
LastPass breach lessonsSaaS vendor securitycloud vendor riskenterprise securityzero-knowledge architecture

클라우드 보안을 바꾼 사건

2026년 업데이트

2022년 LastPass 침해는 주로 비밀번호 관리자에 관한 것이 아닙니다. 신뢰에 관한 것입니다. 기업들은 클라우드 벤더에 데이터를 믿었습니다. 그 신뢰가 깨졌습니다. 원인은 무모함이 아닌 숨겨진 결함이었습니다.

LastPass는 제로 지식 설계를 판매했습니다. 실제로는 제로 지식이 아니었습니다. 2,500만 명의 사용자가 암호화된 볼트를 도난당했습니다.

공격을 가능하게 한 두 가지 결함

사후 검토에서 두 가지 핵심 약점이 발견됐습니다.

취약한 키 설정. LastPass는 키 파생에 PBKDF2를 사용했습니다. 새 계정은 100,100회 반복이 있었습니다. OWASP는 600,000회를 권장합니다. 일부 오래된 계정은 1회 반복만 있었습니다. 적은 반복은 무차별 대입 공격을 빠르고 저렴하게 만듭니다.

평문 메타데이터. 볼트 내용은 암호화됐습니다. 그러나 메타데이터는 암호화되지 않았습니다. URL, 사용자 이름, 서비스 이름이 도난 데이터에서 모두 보였습니다. 공격자들은 각 사용자가 어떤 서비스에 계정을 가지고 있는지 볼 수 있었습니다. 이것이 표적 피싱과 자격 증명 채우기를 가능하게 했습니다.

이 사례는 두 가지 질문을 별도로 해야 하는 이유를 보여줍니다. "설계가 제로 지식인가?"는 하나의 질문입니다. "구현이 올바른가?"는 다른 질문입니다.

2023년의 Okta: 다른 공격, 같은 결과

2023년 10월, Okta는 보안 사건을 보고했습니다. 도난된 자격 증명이 공격자에게 고객 지원 시스템에 대한 접근을 허용했습니다. 공격은 60만+ 지원 기록을 노출했습니다.

LastPass와 Okta는 벤더 침해의 두 가지 주요 경로를 보여줍니다:

  • 설계 실패 — 올바르게 구축되지 않은 제로 지식 주장
  • 접근 제어 실패 — 민감한 데이터에 접근하는 데 사용된 유효한 자격 증명

제로 지식 설계는 첫 번째 유형을 방지합니다. 유효한 지원 자격 증명을 가진 공격자를 막지는 않습니다. 그러나 그 공격자가 고객 데이터를 읽는 것을 차단합니다.

SaaS 보안 사건 2년간 300% 증가

Obsidian Security는 2022~2024년 SaaS 플랫폼 보안 사건이 300% 증가했음을 발견했습니다.

두 가지 힘이 이를 이끌었습니다. SaaS 사용이 빠르게 성장했습니다. 공격자들이 데이터를 따라갔습니다. 하나의 벤더 침해는 동시에 수십 개의 고객 데이터를 노출할 수 있습니다.

클라우드 벤더에게 할 질문들

암호화 설정:

  • 키 파생 알고리즘, 반복 횟수, 메모리 설정을 확인하세요.
  • OWASP 최소값을 충족하는지 확인하세요. 이것은 600,000 PBKDF2-SHA256 또는 동등한 Argon2id입니다.
  • 키 파생이 귀사 기기에서 실행되는지 확인하세요.

메타데이터 노출:

  • 암호화된 콘텐츠 옆에 평문으로 저장되는 메타데이터가 무엇인지 확인하세요.

지원 접근:

  • 지원 직원이 고객 데이터에 접근할 수 있는지 확인하세요.
  • 지원 시스템이 고객 평문에 접근할 수 없는지 확인하세요.

anonym.legal은 PII 익명화를 위해 제로 지식 아키텍처를 사용합니다. 키 파생은 귀사의 브라우저 또는 데스크톱 앱에서 Argon2id를 통해 실행됩니다. 암호화는 데이터가 기기를 떠나기 전에 이루어집니다. 서버는 복호화할 수 없는 암호문만 저장합니다.

출처

데이터 보호를 시작할 준비가 되셨나요?

48개 언어로 285개 이상의 엔티티 유형으로 PII 익명화를 시작하세요.

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.