パスワード管理ツールの LastPass の保管庫の漏洩について、被害者ができることを解説

新年、明けましておめでとうございます！ 年末年始の休みを有効活用して、パスワード管理を見直しましょう！（笑） 企業のデータ漏洩は基本的に悪いですが、2,500万人のパスワードも持つデータの場合は、最悪です。 この投稿をするまで、少し間を置きました。 ニュースが出る直後、みんなが騒いで矛盾な情報が流されたり、感情的に報じることが多かったりして、それを避けたかったです。 事実パスワード管理アプリ LastPass によると、 2022年8月に第三者によって同社のクラウドサービスが侵入されました当時、個人データは盗まれなかったそうですが、ソースコードは盗まれましたユーザのデータが漏洩していなかったにも関わらず、 LastPass 社は事件を一般公開しました。 顧客と企業の間でのそのような透明性は望ましいことで、功績を認めるべきです（多くの会社はそんなことしません） しかし、当時漏洩したものの中で

[new3]

LastPassは脆弱体制改善できずくるとこまできた感｡結果論で言えば2015年に見限って正解だった。1Passwordも2020年以降毎年数件小さいCVE出てちょっと体制が不安。手軽さバランスでいえばBitwarden、ガチるならKeePass+Syncthing

[theatrical]

lastlassのアカウントリセット(パスワード情報の削除)とbitwardenへの移行を完了させている。バズワードは40文字長以上あったので、ちゃんと暗号化されていれば大丈夫だろうけど、個々のサイトも変更もしとかないとな。

[honeshabri]

俺も最初はLastPassを使い続けていいかなと思ったが、続報でヤバさ具合が分かってきたので1Passwordに乗り換えた

[ikurii]

安全は相対的なものであって、絶対的なものではない。絶対安全なものなどない。各々のメリット、デメリットを理解した上で、どれを選ぶか。

[soyokazeZZ]

KeePass2をdropboxで共有して使ってるんだけど、ブコメであまりソフト名が上がらないので不安を覚える

[uehaj]

全ユーザのデータを集約してクラウドにデータを保存するのがおかしいと思う。Enpassは自分のgoogle driveなりone driveなりdropboxなり、あるいはローカルストレージなりに、データを(もちろん暗号化して)保存する

[ysync]

利便性とセキュリティはトレードオフなので。金銭的被害が起きえ無いであろうネットサービス等のパスワード共有はグーグルに丸投げ、ネットバンク等の金絡みはkeepass2で複数端末同期はせずに運用してる。

[ustam]

だからオンラインのパスワード管理ツールは嫌なんだよ。会社で他社サービスを使ってるけど、絶対に安全性だと言い切れる？

[iamwhiteee]

はてブも無知多すぎだな。1Passwordはマスターパスワードだけでなく128bitの秘密鍵で保護されてるから例え保管庫が流出したととしても現実的に複合が不可能。BitWarden進めてるやついるけど秘密鍵で保護されてんのか？

[z1h4784]

LastPassは何年も前から漏洩続きで改善する気配も見られないのでやめたほうがいいと思う。他のパスワード管理ツールはこんなことはない

[pascal256]

とりあえず、どれを更新すればいいか分かるだけマシと考えるしかないよな。。。　あのサイト忘れてた、とかが出にくいから。

[htnr]

1Passwordが言う"秘密鍵"は『お前が考えた鍵どうせショボいし保管庫用には勝手に強い鍵作ったる』ってだけの機能なので、BWでも強いパス設定して普段はPINや生体認証とかで解除すればシンプルかつ同等の堅牢さになるんよ

[tu_no_tu]

過去にlastpass使用してた人は、アカウント削除が完了してるか、念のため、一度は確認した方が良いよ。 https://lastpass.com/delete_account.php このサイトでDelete 、Noを選んでメアドを入力すればアカウントが削除済みか確認できる

[pukarix]

昔からlastpass はやらかしている。とっとと見限ってよかった

[kuro_pp]

LastPass から KeePass に移って久しいが、LastPass のデータってどうなってたっけ……

[FOx]

有料化するときにアカウント削除→Bitwardenに移行して正解だった

[Nean]

へぇ～。

[TANE1978]

おかげさまで1passwordのマスターパスワードへのMFAしておきました。ありがとうございます。

[defiant]

この記事をおすすめしました

[delphinus35]

1Password勢なので関係ないのだが興味深く読んだ。マスターパスワードももう少し難しいのにしとこうかな。

[omega314]

自分で覚えておけばよい。

[abcdefghijklmnopqrstuvwxy5]

bitwardenはいいぞ

[b-wind]

“LastPass から切り替えるべき理由は、パスワード管理ツールのくせに保管庫には平文の値が多すぎて、上記で書いたとおり、パスワードでなくても色んな理由でユーザを困らせることです”

[John_Kawanishi]

自分が使ってるPassword管理Toolって｢Firefox Sync｣や｢Google アカウント｣なんだけどどうすれバインダー

[sf2k12vc7]

ページをスクロールしてザッピングしてるとこのタイトルのところを通過するたびに「パワードスーツ」と誤読した字面が目に飛び込んでくる。不思議。

[urtz]

何も考えずChromeで管理だが、良くないかな

[boxshiitake]

keepassが最強だよ

[blueboy]

bitwarden

[kikuchi1201]

1Passwordに乗り換えました

[door-s-dev]

保管庫が漏洩したならマスターパスワード更新は意味なさそうに思えるけどどうなんだろ/設定されていたマスターパスワードが絶対に解読されないレベルの強度なら問題ないか

[lemon32]

2年前見限ってBitWardenに移行しておいて正解だった

[anigoka]

やはりメモ帳デスクトップ置きこそ至高にして至上（おい

[buriedarmy]

詳細がわかるまでしばらく様子見してたがbitwardenに移行した。あとはとりあえずお金が絡むものだけパスワードを変更するのだが手間がががが…

[Pinballwiz]

とりあえずマスターパスの変更、国内限定ログイン設定、クレカ関連のパスの変更だけやったわ…。BitWardenに移行しようかな。

[manjirou99]

この記事出してもらう前に全部指摘された対応はとった。筆者と同じ認識。lastpass の暗号化ボルトの漏洩という部分が嘘の場合MFA設定なければ即座にブリーチするだろうし。攻撃者は脆弱ユーザーリスト作ってるだろうね

[ya--mada]

激おこしてる海外ユーザーや自称セキュリティ専門家の焼き直しなのになんでか勿体ぶってる感なのだが、なんだろな。

[collectedseptember]

keepass系使ってる。マルチデバイス連携は不用意にそれぞれで新しいパスワードを作ったらファイルが2つになったことがあったので多少注意は必要。

[Hasen]

クラウド型が嫌で1Pass購入してしばらくしたらサブスクになっててしかもクラウド型に移行してて萎えた