Incidenten som förändrade molnsäkerheten
Uppdaterat för 2026
LastPass-intrånget 2022 handlar inte främst om lösenordshanterare. Det handlar om förtroende. Företag litade på en molnleverantör med sina uppgifter. Det förtroendet bröts. Orsaken var dolda brister, inte vårdslöshet.
LastPass sålde en nollkunskapsdesign. I praktiken var det inte nollkunskap. 25 miljoner användare fick sina krypterade valv stulna. Attacken avslöjades först i augusti 2022. LastPass reviderade sina avslöjanden flera gånger. Den fulla omfattningen framkom i slutet av 2022.
För företag inom hälso- och sjukvård, finans och juridik var detta inte en avlägsen nyhet. Dessa sektorer möter verkligt ansvar när data läcker. LastPass-fallet var ett tidigt tecken på ett bredare problem.
Två brister som möjliggjorde attacken
Efterincientsgranskniing hittade två nyckelbrister.
Svag nyckelkonfiguration. LastPass använde PBKDF2 för nyckelderivering. Nyare konton hade 100 100 iterationer. OWASP rekommenderar 600 000. Vissa gamla konton hade så få som 1 iteration. Färre iterationer gör brute-force-attacker snabba och billiga. Angripare med valvfiler kunde testa huvudlösenord med hög hastighet.
Klartext-metadata. Valvinnehållet var krypterat. Men metadata var det inte. URL:er, användarnamn och tjänstenamn var alla synliga i den stulna datan. Angripare kunde se vilka tjänster varje användare hade konton hos. Det möjliggjorde riktad nätfiske och credential stuffing. Ingen valvknäckning krävdes.
Detta fall visar varför två frågor måste ställas separat. "Är designen nollkunskap?" är en fråga. "Är implementeringen korrekt?" är en annan fråga.
Okta 2023: En annan attack, samma resultat
I oktober 2023 rapporterade Okta en säkerhetsincident. En stulen uppgift gav en angripare åtkomst till dess kundsupportsystem. Attacken exponerade 600 000+ supportposter. Dessa inkluderade filer uppladdade av kunder under supportsessioner.
Okta är en identitetssäkerhetsplattform. Problemet var inte en designbrist. Det var ett åtkomstkontrollfel. En supportingenjörs inloggning stals. Angriparen använde den för att nå känsliga uppgifter.
LastPass och Okta visar de två huvudvägarna till en leverantörskompromiss:
- Designfel — nollkunskapspåståenden som inte byggts korrekt
- Åtkomstkontrollfel — giltiga uppgifter använda för att nå data de inte borde nå
Nollkunskapsdesign förhindrar den första typen. Det stoppar inte en angripare med giltiga supportuppgifter. Men det blockerar den angriparen från att läsa kunddata. Leverantören innehar aldrig dekryptert innehåll. Se vår säkerhets- och efterlevnadsöversikt för hur detta gäller PII-verktyg.
SaaS-säkerhetshändelser ökade 300 % på två år
Obsidian Security fann en 300 %-ökning av SaaS-plattformssäkerhetshändelser från 2022 till 2024.
Detta är inte en 300 %-ökning av angriparskicklighet. Två krafter drev det. SaaS-användningen växte snabbt. Angripare följde datan. En enda leverantörskompromiss kan exponera data från dussintals klienter på en gång. Den utdelningen gynnar leverantörsattacker framför enskilda företagsattacker.
Företag som antog att molnplattformar var säkra behöver uppdatera den synen. SaaS-leverantörer är nu primära mål.
Frågor att ställa till alla molnleverantörer
För inköps- och säkerhetsteam täcker denna checklista kärnområdena.
Krypteringskonfiguration:
- Be om nyckelderiveringsalgoritm, iterationsantal och minnesinställningar.
- Bekräfta att iterationsantal uppfyller OWASP-minimumkrav. Det är 600 000 PBKDF2-SHA256 eller motsvarande Argon2id.
- Verifiera att nyckelderivering körs på din enhet, inte på leverantörens servrar.
Metadata-exponering:
- Fråga vilken metadata som lagras i klartext bredvid krypterat innehåll.
- Begär en datamodell. Den bör visa vilka fält som är krypterade och vilka som är synliga vid en attack.
Supportåtkomst:
- Fråga om supportpersonal kan komma åt kunddata.
- Bekräfta att supportsystem inte kan nå kundklartext.
Incidenthistorik:
- Be om alla tidigare säkerhetshändelser, inklusive de under offentliga avslöjandetrösklar.
- Bedöm hur fullständiga och ärliga tidigare avslöjanden var.
LastPass-incidenten var ett implementeringsfel och ett förtroendefel. Leverantörer med specifika svar möjliggör verklig riskgranskning. Leverantörer med vaga påståenden lämnar risken dold. Den risken uppkommer ofta först efter en attack. Se vår efterlevnadsöversikt för vägledning om leverantörsutvärdering.
anonym.legal använder nollkunskapsarkitektur för PII-anonymisering. Nyckelderivering körs via Argon2id i din webbläsare eller desktopapp. Kryptering sker innan data lämnar din enhet. Servrar lagrar bara kryptotext de inte kan dekryptera. Läs mer.