密码管理软件 LastPass遭黑客入侵

8月25日，LastPass在官方博客发文称，最近一名黑客在侵入其系统后窃取了源代码和专有信息。不过他们认为没有任何密码被盗，用户不需要采取行动来保护他们的账户。



Lastpass是一个在线密码管理器和页面过滤器，采用了强大的加密算法，自动登录/云同步/跨平台/支持多款浏览器，全球用户数超过3300万。



LastPass CEO卡里姆图巴称，黑客通过一个受感染的开发者帐户获得了对LastPass开发环境部分的访问权限，并获取了部分源代码和一些专有的LastPass技术信息。我们的产品和服务正常运行。 ”



为了应对这一事件，LastPass部署了遏制和缓解措施，并聘请了一家领先的网络安全和取证公司。

LastPass强调，此事件并未泄露用户密码。我们从不存储或知道您的主密码。我们采用行业标准的零知识架构，确保LastPass永远不会知道或访问我们客户的主密码。”

黑客使用 AiTM 监控 Microsoft 365 帐户实施 BEC 诈骗

近日，有安全研究员在一项新的商业电子邮件泄露 (BEC) 攻击活动中，发现攻击者使用中间攻击 (AiTM) 网络钓鱼网站作为跳板，入侵目标企业高管的 Microsoft 365 帐户，其中不乏受 MFA 保护的帐户。



据介绍，通过访问大型组织的 CEO 或 CFO 等高级员工的账户，攻击者可以控通信并在适当的时候回复电子邮件，从而将大笔交易转移到他们的银行账户。这是典型的商业电子邮件泄露攻击，攻击者在最后时刻从受感染账户发送电子邮件，请求交易的授权成员更改银行账户目的地。



Mitiga 研究人员在一次事件响应案例中发现了这一新活动，并报告称它现在很普遍，针对每笔高达数百万美元的交易。



在这些攻击中发送的网络钓鱼电子邮件告诉目标，他们通常发送付款的公司银行账户由于财务审计而被冻结，并附有新的付款指令，这些指令会切换到被指控的子公司的账户。然而，这个新的银行账户归窃取付款的威胁者所有。



为了欺骗收件人，攻击者劫持电子邮件线程并使用域名仿冒域名，这些域名迅速作为真实的域名传递给受害者知道的抄送法律代表，让他们参与交换

俄媒：俄央行将于近期组织各银行举行网络安全演习

据俄罗斯卫星社24日报道，俄央行信息安全部主任瓦季姆·乌瓦罗夫接受采访时表示，俄罗斯各银行将于近期举行网络安全演习，场景包括使用外国软件和设备的风险。



乌瓦罗夫提醒说，央行自2020年起就经常与金融市场参与单位举行网络安全演习，现在已经设计了新的场景和应对威胁的新方法。



他还指出：“我们将在近期使用更新后的威胁模型进行演习。”



乌瓦罗夫补充说，使用外国软件、设备和服务会对业务可靠性的保障造成影响，央行不能不考虑让其退出俄罗斯市场。他还说：“因此，我们计划在网络安全演习期间与各金融单位共同查明此类风险。”