Voor onze klanten:
Hierbij stel ik u op de hoogte van belangrijke nieuwe informatie over het beveiligingsincident waar we u op 22 december 2022 een bericht over hebben gestuurd.We hebben nu ons uitgebreide onderzoek naar dit incident afgerond. Sinds 26 oktober 2022 hebben we geen nieuwe ongeoorloofde activiteiten gedetecteerd.
Gedurende ons onderzoek zijn we veel te weten gekomen over wat er precies is gebeurd. Vandaag delen we de nieuwe uitkomsten met u. Parallel met het onderzoek hebben we veel tijd en moeite gestoken in de versterking van onze beveiliging en hebben we onze algehele veiligheidsactiviteiten verder verbeterd. In deze update licht ik deze maatregelen toe en geef ik aan welke extra stappen er worden genomen.
Deze update is als volgt opgebouwd:
<ul>
    <li><strong>Wat is er gebeurd en wat hebben we gedaan?</strong></li>
    <li><strong>Welke gegevens zijn bemachtigd?</strong></li>
    <li><strong>Welke acties moet u nemen om uzelf of uw bedrijf te beveiligen?</strong></li>
    <li><strong>Wat hebben we gedaan om LastPass te beveiligen?&nbsp;</strong></li>
    <li><strong>Wat kunt u van ons verwachten?</strong></li>
</ul>
We hebben het grote voorrecht om voor miljoenen gebruikers en meer dan 100.000 bedrijven te werken, en we willen ervoor zorgen dat al onze klanten de informatie hebben die ze nodig hebben om hun vragen te beantwoorden.Omdat we vandaag veel informatie met u delen, hebben we dit bericht gestructureerd met samenvattingen in links om u over ieder onderwerp meer gedetailleerde informatie te geven.
We hebben feedback ontvangen dat we tijdens dit volledige proces vaker en uitgebreider hadden moeten communiceren. Die feedback is bij ons aangekomen en we nemen dit serieus. Door de duur van het onderzoek moesten we compromissen sluiten, maar we begrijpen de frustratie die onze communicatie in het begin heeft veroorzaakt voor zowel bedrijven als particulieren die op onze producten vertrouwen. En dit spijt ons. Door vandaag deze extra informatie met u te delen en met onze benadering voor de toekomst, willen we dit rechtzetten en effectiever communiceren.
Als u deze update liever overslaat en direct wilt weten welke acties LastPass aanbeveelt om uw account of bedrijf te beschermen, klik dan <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer">hier</a> als particulier of <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer">hier</a> als bedrijfsbeheerder.
<h3>WAT IS ER GEBEURD EN WAT HEBBEN WE GEDAAN?</h3>
De twee incidenten die we vorig jaar openbaar hebben gemaakt, hadden een uitwerking op LastPass en op onze klanten. Geen van de incidenten werd veroorzaakt door een productdefect of ongeoorloofde toegang tot of misbruik van productiesystemen van LastPass. In plaats daarvan maakte de dader gebruik van een kwetsbaarheid in externe software, omzeilde bestaande controlemechanismen en verkreeg uiteindelijk toegang tot een omgeving die niet voor productie werd gebruikt, en tot een omgeving voor opslag van back-ups.
We hebben technische gegevens, aanwijzingen van inbraak en tactieken, technieken en procedures (TTP's) van de dader gedeeld met de autoriteiten en met onze partners voor monitoring van bedreigingen en forensische analyse. Tot nu toe blijven de identiteit en de motieven van de dader echter nog onbekend. Er is geen contact opgenomen en er zijn geen eisen gesteld. Er is ook geen geloofwaardige illegale activiteit waargenomen die aangeeft dat de dader actief probeert om enige informatie te aan te bieden of te verkopen die bij &eacute;&eacute;n van de incidenten is verkregen.
<strong>Samenvatting Incident 1</strong>: De zakelijke laptop van een software-engineer werd gehackt, waardoor de dader ongeoorloofd toegang kon krijgen tot een ontwikkelingsomgeving in de cloud en zo broncode, technische gegevens en bepaalde interne systeemgeheimen van LastPass kon stelen. Bij dit incident werden geen gegevens van klanten of kluizen verkregen, want de ontwikkelingsomgeving bevat deze niet. We hebben dit incident afgesloten, maar ontdekten later dat de gegevens die bij dit eerste incident gestolen waren, werden gebruikt om doelwitten te bepalen en om het tweede incident in te leiden.
Als reactie op het eerste incident hebben we ons interne beveiligingsteam opgeroepen en ook het onderzoeksbedrijf Mandiant ingeschakeld. In het kader van het proces voor beheersing, uitbanning en herstel hebben we de volgende acties genomen:
<ul>
    <li>De ontwikkelingsomgeving verwijderd en opnieuw opgebouwd, om volledige beheersing en uitbanning zeker te stellen.</li>
    <li>Extra veiligheidstechnologie&euml;n en controlemechanismen uitgerold als aanvulling op bestaande methoden.</li>
    <li>Alle relevante geheimen in gewone tekst en alle blootgestelde certificaten die ons team gebruikt, vernieuwd.</li>
</ul>
<a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">Hier</a> kunt u de details lezen van dit eerste incident en de herstelacties.
<strong>Samenvatting Incident 2</strong>: De dader richtte zich op een senior DevOps-engineer door gebruik te maken van een kwetsbaarheid in externe software. De dader heeft deze kwetsbaarheid gebruikt om malware te installeren. De bestaande beveiligingsmechanismen zijn omzeild en uiteindelijk verkreeg de dader ongeoorloofde toegang tot back-upsystemen in de cloud. De gegevens in deze back-ups omvatten gegevens over systeemconfiguraties, API-geheimen, integratiegeheimen voor integraties met software van derden, en versleutelde en onversleutelde klantgegevens van LastPass.
Als reactie op het tweede incident hebben we opnieuw ons team voor incidentenrespons en Mediant ingeschakeld. In het kader van het proces voor beheersing, uitbanning en herstel voor dit tweede incident, hebben we de volgende acties genomen:
<ul>
    <li>De middelen van LastPass voor opslag in de cloud geanalyseerd en extra beveiligingsbeleid en controlemechanismen toegepast.</li>
    <li>Bestaande toegangscontroles voor uitgebreide toegang geanalyseerd en aangepast.</li>
    <li>Relevante geheimen en certificaten vervangen die zijn verkregen door de dader.</li>
</ul>
<a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">Hier</a> kunt u meer details lezen over dit incident en de herstelacties.
<h3>WELKE GEGEVENS ZIJN BEMACHTIGD?</h3>
De samenvattingen van de incidenten geven aan dat de dader bij deze twee incidenten zowel gegevens van LastPass heeft gestolen als gegevens van klanten, waaronder:
<strong>Samenvatting van gegevens verkregen bij Incident 1:</strong>
<ul>
    <li>On-demand cloud-based ontwikkelings- en broncodearchieven &ndash; dit omvatte 14 van de 200 archieven.</li>
    <li>Interne scripts van de archieven &ndash; met LastPass-geheimen en certificaten.</li>
    <li>Interne documentatie &ndash; technische gegevens die beschreven hoe de ontwikkelingsomgeving werkte.</li>
</ul>
<strong>Samenvatting van gegevens verkregen bij Incident 2:</strong>
<ul>
    <li>DevOps-geheimen &ndash; geheimen die zijn gebruikt om toegang te verkrijgen tot de opslag van back-ups in de cloud.</li>
    <li>Opslag van back-ups in de cloud &ndash; deze bevatten configuratiegegevens, API-geheimen, integratiegeheimen voor integraties met software van derden, metagegevens van klanten en back-ups van alle klantgegevens in kluizen. Alle gevoelige gegevens in kluizen van klanten, behalve URL's, bestandspaden voor ge&iuml;nstalleerde LastPass Windows- of macOS-software en bepaalde use cases met betrekking tot e-mailadressen, zijn versleuteld met ons beveiligingsmodel op basis van zero knowledge. Ze kunnen uitsluitend worden ontsleuteld met een unieke sleutel, die wordt afgeleid van het hoofdwachtwoord van iedere gebruiker. De hoofdwachtwoorden van eindgebruikers zijn nooit bekend bij LastPass en worden niet door LastPass opgeslagen of onderhouden. Daarom konden ze ook niet worden gestolen.</li>
    <li>Back-up van de LastPass MFA/Federatiedatabase &ndash; bevatte kopie&euml;n van de LastPass Authenticator-seeds, telefoonnummers die worden gebruikt voor de MFA-back-upmogelijkheid (indien ingeschakeld), en een gedeelde kenniscomponent (de K2-&ldquo;sleutel&rdquo;) die wordt gebruikt voor federatie van LastPass (indien ingeschakeld). Deze database was versleuteld, maar de apart opgeslagen sleutel maakte onderdeel uit van de geheimen die de dader bij het tweede incident heeft gestolen.</li>
</ul>
<a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener noreferrer">Hier</a> vindt u gedetailleerde informatie over de specifieke klantgegevens die betroffen waren bij deze incidenten.
<h3>WELKE ACTIES MOET U NEMEN OM UZELF OF UW BEDRIJF TE BEVEILIGEN?</h3>
We hebben twee beveiligingsberichten opgesteld om onze klanten zo goed mogelijk te ondersteunen bij hun eigen incidentbeheer. E&eacute;n bericht is voor de particuliere gebruikers van Free, Premium en Families, en &eacute;&eacute;n bericht is voor de zakelijke gebruikers van Business en Teams. Ieder beveiligingsbericht bevat informatie die onze klanten helpt om hun LastPass-account veilig te houden en om te reageren op deze beveiligingsincidenten op een manier die volgens ons aansluit bij hun persoonlijke behoeften of bij het beveiligingsprofiel en de omgeving van hun organisatie.
<ul>
    <li><strong>Beveiligingsbericht: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer"><strong>Aanbevolen acties</strong></a><strong> voor gebruikers van LastPass Free, Premium en Families. </strong>Dit bericht biedt gebruikers van Free, Premium en Families een overzicht van belangrijke LastPass-instellingen die zijn ontworpen om hun account veilig te houden, door te controleren dat ze beste praktijken volgen.</li>
    <li><strong>Beveiligingsbericht: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer"><strong>Aanbevolen acties</strong></a><strong> voor beheerders van LastPass Business. </strong>Dit bericht ondersteunt beheerders van Business en Teams bij een risicobeoordeling van hun LastPass-accountconfiguratie en integraties met derden en bevat informatie die relevant is voor zowel federatieve als niet-federatieve klanten.</li>
</ul>
Als u vragen hebt over de aanbevolen acties, neem dan contact op met onze technische ondersteuning of met uw team voor klantsucces. We helpen u graag.
<h3>WAT HEBBEN WE GEDAAN OM LASTPASS TE BEVEILIGEN?</h3>
Sinds augustus hebben we verschillende nieuwe beveiligingstechnologie&euml;n uitgerold voor onze infrastructuur, datacenters en cloudstructuren, om onze beveiliging verder te versterken. Deze werkzaamheden waren al van start gegaan v&oacute;&oacute;r het eerste incident en veel hiervan is nu in recordtijd gepland en uitgevoerd.
We hebben prioriteit gegeven aan forse investeringen in beveiliging, privacy en operationele best practices.. We hebben een uitgebreide beoordeling uitgevoerd van ons beveiligingsbeleid en wijzigingen doorgevoerd om toegang waar nodig te beperken. We hebben onze bestaande controlemechanismen en configuraties diepgaand geanalyseerde en de benodigde wijzigingen doorgevoerd om bestaande omgevingen te versterken. We zijn ook begonnen met een uitbreiding van versleuteling in onze infrastructuren voor de toepassing en back-ups. Tot slot onderzoeken we de opties voor de architectuur op de langere termijn om de ontwikkeling van het platform voor heel LastPass aan te drijven.
<a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener noreferrer">Hier</a> vindt u een lijst van de voltooide en lopende werkzaamheden voor onze beveiligingsroadmap.
<h3>WAT KUNT U VAN ONS VERWACHTEN?</h3>
<p>
Sinds ons bericht van 22 december heb ik met veel zakelijke en particuliere klanten gesproken. Ik erken hun frustraties over ons onvermogen om sneller, duidelijker en uitgebreider over deze gebeurtenis te communiceren. Deze kritiek accepteer ik en ik neem de volledige verantwoordelijkheid. We hebben veel geleerd en zullen in de toekomst effectiever communiceren. Deze update is hiervan een teken.
Iets meer dan een jaar geleden kondigden GoTo en zijn investeerders aan dat LastPass een onafhankelijke bedrijf zou worden, onder leiding van een nieuw managementteam. Het doel is om het volledige potentieel van het bedrijf te ontvouwen en om de belofte waar te maken om het toonaangevende platform voor wachtwoordbeheer op enterpriseniveau te bouwen. Eind april 2022 ben ik als CEO bij LastPass gekomen om deze inspanningen te leiden.
De afgelopen acht maanden hebben we nieuwe leiders ingehuurd om de groei van het bedrijf te ondersteunen en een nieuwe strategie uit te voeren. Hierbij zijn ook gerenommeerde veteranen uit de sector en leiders op het gebied van technologie en beveiliging.
In het kader van onze volgende groeifase hebben we miljoenen dollars gereserveerd voor onze investeringen in beveiliging van mensen, processen en technologie. Die investering ondersteunt ons doel om van LastPass een toonaangevend bedrijf te maken op het gebied van cyberbeveiliging en om ervoor te zorgen dat we toekomstige bedreigingen kunnen afweren.
Hartelijk dank voor uw begrip, advies en ononderbroken steun.
</p>
<p>
Karim Toubba
</p>
<p>
CEO van LastPass</p>

Update over beveiligingsincident met aanbevolen acties

Voor onze klanten:
Hierbij stel ik u op de hoogte van belangrijke nieuwe informatie over het beveiligingsincident waar we u op 22 december 2022 een bericht over hebben gestuurd.We hebben nu ons uitgeb[..]

<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
<h2><strong>Overzicht beveiligingsincident 22 maart 2017 (14.30)</strong></h2>
We willen onze community op de hoogte brengen van het laatste nieuws rondom de kwetsbaarheden die recentelijk werden gemeld door Tavis Ormandy, een beveiligingsonderzoeker van Googles team Project Zero.

Dit is een lang bericht, dus u kunt de belangrijkste punten doorlezen in de samenvatting en voor meer details verder lezen in het complete overzicht.
<h2><strong>Samenvatting</strong></h2>
<ul>
 	<li>Beveiligingsonderzoeker Tavis Ormandy heeft recentelijk twee kwetsbaarheden gevonden</li>
 	<li>Ons onderzoek heeft tot nu toe geen aanwijzingen opgeleverd dat gevoelige gebruikersgegevens verloren gegaan of gelekt zijn</li>
 	<li>Alle LastPass-extensies zijn gepatcht en worden opnieuw vrijgegeven aan gebruikers</li>
 	<li>De kwetsbaarheden waren niet van toepassing voor onze mobiele apps voor Android en iOS</li>
 	<li>U hoeft uw masterwachtwoord niet te wijzigen</li>
 	<li>U hoeft geen aanmeldingsgegevens voor websites te wijzigen</li>
 	<li>Zorg dat u de meest recente versies gebruikt
<ul>
 	<li>De meeste gebruikers ontvangen automatisch de meest recente update, maar de nieuwste versie kan ook altijd worden gedownload vanaf <a href="https://lastpass.com/download">com/download</a></li>
 	<li>Controleer uw versie door op het LastPass-pictogram te klikken. U vindt uw versie onder Meer opties &gt; Over LastPass
<ul>
 	<li>Firefox: 4.1.36</li>
 	<li>Chrome: 4.1.43.82</li>
 	<li>Edge: 4.1.30 (in afwachting van goedkeuring door Microsoft)</li>
 	<li>Opera: 4.1.28 (in afwachting van goedkeuring door Opera)</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>Wat is er gebeurd?</strong></h2>
Beveiligingsonderzoeker Tavis Ormandy van Google’s Project Zero meldde vorige week <a href="https://twitter.com/taviso/status/843965519371812864">twee</a> <a href="https://twitter.com/taviso/status/842205051082821632">kwetsbaarheden</a> aan ons team die van toepassing waren voor veel LastPass-browserextensies. De meldingen waren relevant voor zakelijke en particuliere accounts.

Om de gemelde kwetsbaarheden te misbruiken, zou een aanvaller de LastPass-gebruiker eerst naar een kwaadaardige website lokken. Tavis demonstreerde hoe een aanvaller – als dat gelukt was – de API's van LastPass kon aanroepen of soms ook willekeurige code uitvoeren, zogenaamd als vertrouwde partij. Hiermee kon de aanvaller mogelijkerwijs informatie uit een LastPass-account ophalen en compromitteren, zoals aanmeldingsgegevens van de gebruiker.
<h2><strong>Bug met berichtkaping in 3.3.2 voor Firefox</strong></h2>
<strong>De melding</strong>
Op basis van ons proces voor URL-parsing in versie 3.3.2 voor Firefox konden kwaadaardige websites voor de LastPass-extensie doorgaan voor legitieme sites, waarvoor de extensie de aanmeldingsgegevens opgaf.

Deze fout is vorig jaar aan ons team <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">gemeld</a> en toen ook direct opgelost. Deze oplossing is niet automatisch verwerkt in de Firefox-3.3.x-extensies, die vanaf april volgens planning niet meer wordt ondersteund.

<strong>Wat u moet weten</strong>
<ul>
 	<li>Voor de publicatie van dit rapport hebben we al <a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">aangekondigd</a> dat de 3.x-extensies voor Firefox vanaf april niet meer worden ondersteund.</li>
 	<li>We raden u dringend aan om de update naar 4.1.36 voor Firefox te downloaden via <a href="https://lastpass.com/download">com/download</a>. Gebruikers kunnen ook een update naar 3.3.4 downloaden. Zoals gezegd zal de 3.x-versie van LastPass echter de komende weken buiten gebruik worden genomen.</li>
</ul>
<h2><strong>Bug in de website connector</strong></h2>
<strong>De melding</strong>
Een <a href="https://twitter.com/taviso/status/843965519371812864">probleem</a> met de architectuur voor een functie voor nieuwe gebruikers was van toepassing op clients die gebruik maakten van deze code (Chrome, Firefox of Edge). Een kwaadaardige website kon zich voor LastPass voordoen als een vertrouwde partij en zo accountgegevens stelen. Gebruikers met de binaire component van LastPass (minder dan 10%) liepen ook risico door een andere <em>exploit</em> als ze naar een kwaadaardige website werden gelokt.

Deze bug kwam in augustus 2016 voor het eerst in omloop met de release van deze experimentele functie voor nieuwe gebruikers. De code wordt gebruikt in alle LastPass-clients op Chrome, Firefox en Edge.

Nadat LastPass op de hoogte was gebracht van de kwetsbaarheid, werd de betreffende functie direct uit de lucht gehaald en ging het team van LastPass aan het werk om alle betroffen clients bij te werken.

Terwijl we aan het werk waren om de kwestie aan de client-kant op te lossen, <a href="https://twitter.com/taviso/status/844312124541186048">tweette</a> Tavis over een andere kwestie (de tweet is weer verwijderd). Dit ging echter om hetzelfde probleem, maar op twee verschillende browsers. Hierdoor ontstond enige verwarring over het aantal problemen en de status van de oplossingen.

<strong>Wat u moet weten</strong>
<ul>
 	<li>We hebben updates geïmplementeerd voor alle betroffen clients om deze kwetsbaarheid op te lossen en alle gebruikers voorzien van nieuwe versies.</li>
 	<li>Chrome en Firefox werken hier al mee, de versies voor Edge en Opera moeten nog goedgekeurd worden door de app-stores.</li>
 	<li>In het kader van ons proces voor probleemoplossing hebben we alle andere extensies (en de installatieprogramma's) die gebruik maken van deze code diepgaand geanalyseerd.</li>
</ul>
<h2><strong>De volledige tijdlijn (tijdzone: EST)</strong></h2>
<strong>Bug met berichtkaping in 3.3.2 voor Firefox</strong>
<ul>
 	<li>10 maart: LastPass kondigt aan te stoppen met de 3.3.x-extensies voor Firefox</li>
 	<li>15 maart 22.45: Kwetsbaarheid voor berichtkaping in 3.3.2-extensie voor Firefox komt aan het licht</li>
 	<li>15 maart 22.48: LastPass ontvangt details van de bug in de 3.3.2-extensie voor Firefox en start een onderzoek</li>
 	<li>17 maart 08.43: LastPass dient een patch in bij Mozilla met 3.3.4 voor Firefox</li>
</ul>
<strong>Bug in de website connector</strong>
<ul>
 	<li>20 maart 19.20: Bug in de website connector voor 4.1.42 voor Chrome komt aan het licht</li>
 	<li>20 maart 19.36: LastPass start een functieoverschrijdend beveiligingsonderzoek</li>
 	<li>21 maart 00.15: LastPass haalt de server van de betreffende service uit de lucht</li>
 	<li>21 maart 07.04: LastPass kondigt aan dat er een tijdelijke beveiliging aan de serverzijde geïmplementeerd is, voor zolang als het onderzoek naar de client-zijde loopt en totdat alles ook daar volledig opgelost is</li>
 	<li>22 maart 00.10: LastPass brengt 4.1.36 voor Firefox uit met oplossing</li>
 	<li>22 maart 12.07: LastPass brengt 4.1.43.82 voor Chrome uit met oplossing</li>
 	<li>22 maart 13.55: LastPass dient 4.1.30 voor Edge in ter goedkeuring</li>
 	<li>22 maart 14.49: LastPass.com brengt 4.1.28 voor Opera met oplossing uit op <a href="https://lastpass.com/download">com/download</a>; wacht op goedkeuring door store</li>
</ul>
<strong>Enkele goede gewoonten voor uw beveiliging</strong>

De meeste gebruikers van LastPass volgen de bekende <em>best practices</em>. De volgende reminders kunnen echter geen kwaad:
<ul>
 	<li>Pas op voor phishing-aanvallen. Klik niet op links van onbekenden of op links die niet overeenstemmen met wat u gewend bent van uw vertrouwde contactpersonen en bedrijven.</li>
 	<li>Gebruik voor ieder online account een ander, uniek wachtwoord.</li>
 	<li>Gebruik een sterk en veilig masterwachtwoord voor uw LastPass-account, dat u aan niemand meedeelt – ook niet aan ons.</li>
 	<li>Schakel tweeledige verificatie in voor LastPass en andere online diensten, zoals uw bank, e-mail, Twitter, Facebook, etc.</li>
 	<li>Houd uw computer en mobiele apparaten schoon met behulp van antivirussoftware, en update uw software zodra dit kan.</li>
</ul>
<h2><strong>Een blik op de toekomst</strong></h2>
Om dit soort problemen in de toekomst te voorkomen, brengen we verbeteringen aan voor de huidige kwaliteitscontrole voor onze code, met name voor nieuwe en experimentele functies.

Veiligheid is natuurlijk de kern van ons werk. We streven naar transparantie in onze omgang met dit soort kwetsbaarheden. We hechten veel waarde aan het werk dat Tavis, Project Zero en andere bonafide hackers verrichten. We hebben er allemaal baat bij als dit beveiligingsmodel werkt om bugs op een verantwoordelijke manier te rapporteren. En we weten zeker dat LastPass hierdoor een beter product wordt. Onderzoekers kunnen bijdragen via ons beloningsprogramma voor het melden van bugs: <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a>.

———-

<strong>22 maart 2017 (11.12)</strong>

De afgelopen week hebben we samengewerkt met Tavis Ormandy, beveiligingsonderzoeker bij Google, om de gerapporteerde kwetsbaarheden te onderzoeken en op te lossen. We bieden onze verontschuldigingen aan voor de verlate reactie. We hebben deze rapporten grondig onderzocht om u zoveel mogelijk details te kunnen geven. Er komt binnenkort een uitgebreidere evaluatie, maar we wilden onze community nu alvast een korte samenvatting bieden.

<strong>Wat is er gebeurd?</strong>
In de nacht van 20 maart ontvingen we een melding over een kwetsbaarheid in onze extensie 4.1.42.80 voor Chrome. We hebben de melding direct onderzocht en binnen enkele uren een tijdelijke oplossing aan de server-zijde geïmplementeerd. De kwetsbaarheid gold voor alle LastPass-clients – Chrome, Firefox, Edge – waarin een experimentele functie voor nieuwe gebruikers was ingebouwd.

Later op 21 maart kwam er nog een melding binnen, over Firefox 4.1.35a. Dit ging grotendeels om dezelfde kwetsbaarheid als de al eerder gemelde kwetsbaarheid en had betrekking op de 4.x-extensie voor Firefox. Dit probleem zou ook opgelost zijn door de permanente oplossing voor het reeds gemelde probleem, maar de melding kwam binnen voordat deze kon worden geïmplementeerd. We hebben vandaag om 00.15 uur een update uitgebracht die dit specifieke probleem verhelpt: 4.1.36a voor Firefox.

De oplossingen worden uitgerold naar al onze gebruikers en de meeste gebruikers ontvangen de update automatisch.

We hebben geen aanwijzingen dat de gemelde kwetsbaarheden door kwaadwillenden benut zijn, maar op dit moment onderzoeken we dit grondig ter bevestiging. We bieden binnenkort een vollediger overzicht van de gebeurtenissen, met alle informatie die onze community nodig heeft. Op dit moment hoeven gebruikers geen wachtwoorden te wijzigen.
<h2 data-usually-unique-id="992734018312391"></h2>

Belangrijke beveiligingsupdates voor onze gebruikers

<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more detai[..]

Maakt u zich zorgen over “Cloudbleed”? De veiligheidstest van LastPass geeft nu de belangrijkste websites aan die mogelijk last hebben van de recente beveiligingsfout bij Cloudflare: alle betroffen websites in de top 10.000 van Alexa. Door de betroffen websites te markeren, helpt LastPass u om prioriteiten te stellen en uw wachtwoorden te vervangen. Start de beveiligingstest vanuit het linkerpaneel in uw kluis van LastPass of direct via deze link, als u de toegang tot uw accounts onmiddellijk wilt beveiligen:
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a>  </span></p>
<strong>Wat is er gebeurd bij Cloudflare?</strong>

<span >Cloudflare is een dienst die de beveiliging en prestaties van meer dan 5,5 miljoen websites optimaliseert. Het bedrijf <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">waarschuwde vorige week zijn klanten</a> dat gevoelige gebruikersinformatie door een fout in gevaar kan zijn geweest. Het gaat hierbij onder andere om wachtwoorden, cookies en tokens om gebruikers te verifiëren. <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">Lees de betreffende blogpost</a> voor meer informatie</span>

<strong>Moet u zich zorgen maken?</strong>

Cloudflare wordt op ontzettend veel websites gebruikt, onder andere grote sites zoals Medium, Namecheap en Change.org. De schaal van de kwetsbaarheid is dan ook bijzonder groot. Cloudflare heeft echter aangegeven dat de eigenlijk impact van de bug relatief klein is, zodat het risico voor afzonderlijke gegevens redelijk laag is. De bug is inmiddels opgelost, maar er zijn gegevens gelekt vanaf september 2016. Omdat sommige gegevens in de tussentijd door zoekmachines gecached zijn, kan gevoelige informatie nog steeds kwetsbaar zijn.

Omdat niemand er zeker van kan zijn dat de eigen informatie niet gelekt is, is het voor onze veiligheidsbewuste community beter om op safe te spelen. Het beste is om alle wachtwoorden te vervangen die zijn aangemerkt als mogelijk kwetsbaar.

<strong>LastPass maakt het eenvoudiger om wachtwoorden te wijzigen</strong>

De veiligheidstest van LastPass geeft nu de belangrijkste websites aan die mogelijk last hebben van “Cloudbleed”: alle betroffen websites in de top 10.000 van Alexa. Als u tweeledige verificatie gebruikt op betroffen websites, raden we u aan om deze in te trekken en opnieuw toe te voegen.

De beveiligingstest geeft aan welke aanmeldingsgegevens in uw kluis zwak zijn, meerdere malen gebruikt, oud of mogelijk kwetsbaar. Als een van de websites in uw kluis overeenkomt met de lijst van belangrijkste websites die betroffen zijn door de fout bij Cloudflare, ziet u deze website ook terug in de lijst.

LastPass maakt het gemakkelijker om wachtwoorden te vervangen door direct een nieuw, lang en willekeurig gekozen wachtwoord voor u te genereren. Het slaat dit wachtwoord vervolgens op in uw kluis en onthoudt het voor uw volgende aanmelding. Als één van de wachtwoorden die u gebruikt een gedeeld wachtwoord is, synchroniseert LastPass het automatisch voor u – zo houden anderen ook toegang tot de relevante accounts.

LastPass kan veel wachtwoorden zelfs automatisch voor u vervangen met Auto-Password Change. Er is een lijst met zo'n 100 websites waarvoor u uw wachtwoord in één klik kunt vernieuwen. Deze optie kan ook beschikbaar zijn voor sommige websites die Cloudflare gebruiken, zodat u direct kunt profiteren van deze handige functie.
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

Waarschuwingen voor Cloudflare-websites in de LastPass-veiligheidstest

Maakt u zich zorgen over “Cloudbleed”? De veiligheidstest van LastPass geeft nu de belangrijkste websites aan die mogelijk last hebben van de recente beveiligingsfout bij Cloudflare: alle betroffen we[..]

Het enige wat hetzelfde blijft in de beveiligingsindustrie: constante verandering. Technologie ontwikkelt zich continu en we werken er hard aan om alle veranderingen steeds één stap voor te blijven en zo uw informatie te beveiligen. De laatste tijd zijn er twee verhalen aan het licht gekomen waar veel mensen in onze community zich misschien zorgen over maken. Daarom proberen we hier de vragen te beantwoorden over wat u als gebruiker van LastPass zou moeten weten.

<b>Cloudflare</b>

<strong>Kort samengevat: LastPass maakt geen gebruik van Cloudflare. </strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/"><strong>Hun recente beveiligingsincident</strong></a><strong> heeft dan ook geen gevolgen voor ons.</strong>

Wat is er gebeurd? Cloudflare is een SaaS-leverancier, die zijn klanten helpt om de beveiliging en prestaties van websites te optimaliseren. Op donderdag 23 februari waarschuwde het bedrijf zijn klanten over een recent gerepareerde kwetsbaarheid (ontdekt door Tavis Ormandy, een onderzoeker van Google). Deze kwetsbaarheid heeft mogelijk gevoelige informatie blootgesteld aan kwaadwillenden. LastPass maakt echter geen gebruik van Cloudflare. Hun recente beveiligingsincident heeft dan ook geen gevolgen voor ons.

Gebruikers van LastPass kunnen echter accounts hebben op websites die<em> wel</em> met Cloudflare werken. Daarom bevelen we u aan om uw wachtwoorden te vervangen, als een dienst die u gebruikt heeft aangegeven dat deze kwetsbaarheid hiervoor relevant is. Hoewel het risico voor deze accounts minimaal is, kunt u beter op zeker spelen.

<strong>De SHA-1 collision-aanval</strong>

<strong>Kort samengevat: gebruikers van LastPass kunnen gerust zijn, onze hashing en onze website zijn veilig. LastPass gebruikt iteratieve hashing om wachtwoord-hashes te maken, met minimaal SHA-256 of een betere hashing-component. HTTPS-certificaten maken gebruik van SHA-256 of beter voor de verwerking.</strong> <strong>Zoals het beveiligingsteam van Google opmerkt, is SHA-256 een veiligere functie voor versleutelings-hashes.</strong>

Wat is er gebeurd? Het beveiligingsteam van Google <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">maakte kortgeleden bekend</a> dat de eerste bekende praktische aanval tegen SHA-1 heeft plaatsgevonden. SHA-1 (Secure Hash Algorithm 1) is een hashing-functie die teruggaat tot 1995. Hashing is eenvoudigweg een onherroepelijke functie (waarvoor reverse-engineering dus onmogelijk is) die wordt gebruikt om gegevens te verbergen en op te slaan. Het gaat een stap verder dan encryptie. SHA-1 wordt veel gebruikt om software te beveiligen, om te voorkomen dat er wordt geknoeid met software-updates en om veilige verbindingen op te zetten tussen websites en gebruikers. Het is echter ook al sinds 2005 bekend dat SHA-1 kwetsbaar is voor theoretische aanvallen. De laatste jaren heeft Google ontwikkelaars dan ook opgeroepen om op andere algoritmen over te stappen.

In het nieuwe rapport van donderdag 23 februari wordt duidelijk hoe beveiligingsonderzoekers geslaagd zijn in de eerste echte collision-aanval tegen de hashfunctie van SHA-1. Dit betekent dat twee compleet verschillende bestanden (in dit geval PDF's) zijn gebruikt om hetzelfde SHA-1-kenmerk aan te maken (vandaar de naam <em>collision</em>: de kenmerken “botsen”). Dat zou niet mogelijk moeten zijn. Ieder bestand dient zijn eigen unieke SHA-1-kenmerk aan te maken. Anders kan een nepbestand worden aangezien voor het oorspronkelijke vertrouwde bestand.

Zoals hierboven aangegeven maakt LastPass voor zijn hashing gebruik van PBKDF2 met SHA-256, geen SHA-1. Onze websiteverbinding via LastPass.com is ook veilig. Ons HTTPS-certificaat gebruikt SHA-256 en geen SHA-1.

Voor de zekerheid waren we er al mee bezig om het gebruik van SHA-1 ook in andere onderdelen van ons product af te bouwen, waardoor we het binnenkort ook niet meer gebruiken om de binaries te ondertekenen. Het risico is daarbij erg laag. Met het oog op dit rapport bouwen we het gebruik van SHA-1 echter versneld af.

Zoals altijd houden we onze community op de hoogte van alle nieuwe ontwikkelingen.

Met vriendelijke groet,

Het team van LastPass

Twee veiligheidsmeldingen: De SHA-1 collision-aanval en het Cloudflare-incident

Het enige wat hetzelfde blijft in de beveiligingsindustrie: constante verandering. Technologie ontwikkelt zich continu en we werken er hard aan om alle veranderingen steeds één stap voor te blijven en[..]

Met trots kunnen we laten weten dat LastPass officieel een SOC 2 goedkeuring heeft ontvangen! SOC 2 is jargon, maar wel belangrijk jargon. Het betekent dat een onafhankelijke partij – in dit geval RSM US LLP – onze omgang met beveiliging en gegevens grondig heeft onderzocht om na te gaan of we aan bepaalde strenge criteria voldoen. En LastPass is glansrijk geslaagd!

Waarom is SOC 2 belangrijk? De SOC 2 audit is een gedetailleerde beoordeling van de controlemechanismen en processen die ervoor zorgen dat onze producten en systemen veilig en betrouwbaar zijn. Dit gaat bijvoorbeeld om de vertrouwelijkheid van de gegevens die onze systemen verwerken, en de beschikbaarheid van die systemen. Maar dat is nog lang niet alles. Ieder jaar wordt een nieuwe beoordeling uitgevoerd om te controleren of we nog steeds voldoen aan de eisen van SOC 2.

Het SOC 2 proces is slechts één van de manieren waarop we laten zien dat we extreem zorgvuldig omgaan met beveiliging en privacy. We weten dat het vooral voor onze 25.000 zakelijke klanten die LastPass Enterprise gebruiken, belangrijk is dat we voldoen aan SOC 2 om hun wachtwoorden en de accounttoegang van hun medewerkers te beveiligen. Het is de gouden standaard in de Verenigde Staten voor softwarebedrijven die door allerlei branches erkend wordt. En we zijn er gewoon heel trots op dat we die hebben verdiend.

Beveiliging en privacy blijven voorop staan bij alles wat we bij LastPass doen. We blijven investeren in beveiliging, omdat de digitale wereld om ons heen zich ontwikkelt. Zodat we kunnen blijven beschermen wat belangrijk is. We hopen dat het voltooien van de SOC 2 audit laat zien hoeveel belang we hechten aan uw veiligheid en dat u nog meer vertrouwt op ons team en onze service. We blijven eraan werken om u de beste wachtwoordbeheerder te bieden, thuis en op het werk!

LastPass Achieves SOC 2!

Met trots kunnen we laten weten dat LastPass officieel een SOC 2 goedkeuring heeft ontvangen! SOC 2 is jargon, maar wel belangrijk jargon. Het betekent dat een onafhankelijke partij – in dit geval RSM[..]

2016 is het Jaar van het Nieuwe Wachtwoord. Net toen we dachten dat het niet erger kon met alle datalekken, werd pas <a href="http://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P">bekendgemaakt</a> dat ruim <em>500 miljoen</em> Yahoo-accounts betrokken waren bij een lek in 2014. En dan zeggen wij ook nog eens: het is niet voldoende om alleen uw Yahoo-wachtwoord te veranderen.

Het lek bij Yahoo leverde een gigantische buit op: een half miljard mensen, dat is alsof de accountgegevens gestolen zijn van <em>de helft</em> van alle Facebook-gebruikers. Deze inbraak gaat waarschijnlijk de boeken in als het grootste lek in de cyberbeveiliging ooit.

Maar het is bepaald niet het eerste grote gegevenslek dit jaar. Andere grote bedrijven <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">gingen Yahoo voor</a>: Honderden miljoenen gebruikers zijn getroffen door inbraken bij <a href="https://www.theguardian.com/technology/2016/aug/31/dropbox-hack-passwords-68m-data-breach">Dropbox</a>, <a href="http://motherboard.vice.com/read/another-day-another-hack-117-million-linkedin-emails-and-password">LinkedIn</a> en <a href="http://www.pcmag.com/news/344876/myspace-breach-reportedly-affects-360m-records">MySpace</a>.

Angstaanjagend? Ja. En het wordt helaas nog erger. Als dergelijke gigantische lijsten met gebruikersnamen en wachtwoorden uitlekken, kunnen hackers hiermee ook proberen om andere, nog waardevollere accounts van deze gebruikers te hacken. Het enige wat ze hiervoor hoeven te doen is om dezelfde gebruikersnamen en wachtwoorden op andere populaire websites in te voeren. Als ze een match vinden, zijn ze binnen.

Dat betekent dat<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/"> iedereen die zijn wachtwoorden hergebruikt voor verschillende accounts</a> nu kan worden gehackt. Dankzij <a href="http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/">de supercomputers van tegenwoordig</a> kunnen hackers eenvoudig geautomatiseerd kijken of ze ergens binnenkomen met de gepubliceerde wachtwoorden. En omdat heel veel mensen nog steeds wachtwoorden hergebruiken, loont die investering bijzonder vaak. <strong>Het is niet alleen uw wachtwoord voor Yahoo of Dropbox dat gehackt is – bij alle accounts waar u dezelfde of soortgelijke wachtwoorden hebt gebruikt, staat de deur nu open voor hackers.</strong>

Een nieuw wachtwoord voor uw Yahoo-account is niet meer genoeg. Voor een goede bescherming is meer nodig – ook van uzelf. Kunt u de volgende vragen allemaal met "JA" beantwoorden?
<ul>
 	<li>U gebruikt een wachtwoordbeheerder, zoals LastPass?</li>
 	<li>U gebruikt NOOIT hetzelfde wachtwoord voor twee of meer websites of toepassingen.</li>
 	<li>U hebt in het afgelopen jaar al uw wachtwoorden gewijzigd <strong>en</strong></li>
 	<li>U hebt uw Yahoo-wachtwoord veranderd in een ander sterk, willekeurig gekozen wachtwoord.</li>
</ul>
Overal ja? Uw wachtwoordbeheer is een voorbeeld voor de rest van de wereld. Niet overal ja? Hieronder ziet u wat iedereen zou moeten doen voor meer veiligheid online.
<h2><strong>Meld u aan bij een wachtwoordbeheerder.</strong></h2>
Bonuspunten als u al gebruik maakt van LastPass – u kunt de volgende alinea overslaan. Als u nog geen wachtwoordbeheer gebruikt, kunt u zich vandaag nog <a href="https://lastpass.com/">registreren</a>. De meeste mensen hebben er veel moeite mee om overzicht over hun wachtwoorden te behouden, met voor ieder account een ander sterk wachtwoord – dat ze dan ook nog iedere dag moeten onthouden. Een wachtwoordbeheerder neemt u dat werk uit handen, zodat u veilige wachtwoorden hebt, die u gemakkelijk kunt gebruiken. Bovendien gebruikt het hiervoor de beste encryptie die er is. <a href="https://lastpass.com/download">Registreer u dus nu</a> en voeg al uw wachtwoorden toe aan uw kluis. U kunt zelfs de wachtwoorden importeren, die uw browser voor u onthoudt.
<h2><strong>Doe de veiligheidstest.</strong></h2>
Hier zet u uw wachtwoordbeheer echt voor u aan het werk. Als u LastPass al een poosje gebruikt, weet u al hoeveel tijd en gedoe u hiermee bespaart. Maar als u uw wachtwoordbeheerder wilt gebruiken voor optimale veiligheid, kunt u deze voor elke online account een uniek wachtwoord laten maken. De beste manier om uw wachtwoorden te controleren is met de <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">LastPass veiligheidstest</a>. Niet alleen weet u dan hoeveel wachtwoorden u in uw kluis hebt, u ziet ook direct welke wachtwoorden zwak, oud of dubbel zijn en zelfs bij welke accounts die u gebruikt er lekken zijn geweest. Daarom kunt u dit het beste doen voordat u uw Yahoo-wachtwoord wijzigt. Zo ziet u of u uw Yahoo-wachtwoord ook voor andere accounts hebt gebruikt, en kunt u het wijzigen van de wachtwoorden voor die accounts voorrang geven.
<h2><strong>Wijzig nu het wachtwoord van uw Yahoo-account.</strong></h2>
Meld u aan bij uw Yahoo-account en gebruik de wachtwoordgenerator van LastPass om een nieuw wachtwoord aan te maken. Sla het nieuwe wachtwoord op in uw kluis van LastPass, stel het in uw Yahoo-account in, en klaar. Het is dus wél eenvoudig om een wachtwoord van 20 tekens te gebruiken!
<h2><strong>Wijzig nu al uw andere wachtwoorden.</strong></h2>
<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/">Na ieder nieuw lek</a> moeten consumenten weer een wachtwoord wijzigen. Irritant en vaak een hoop gedoe. Als u met de LastPass veiligheidstest hebt gevonden welke wachtwoorden u dubbel gebruikt, kan LastPass u op verschillende manieren helpen om het wijzigen van wachtwoorden te vereenvoudigen. Op veel websites kan LastPass uw wachtwoord automatisch voor u wijzigen met de functie <a href="https://helpdesk.lastpass.com/generating-a-password/#h2">Automatisch wachtwoord wijzigen</a>. Kies deze optie als deze beschikbaar is. LastPass doet dan de rest. Op andere websites gebruikt u de wachtwoordgenerator van LastPass om het sterkst mogelijke wachtwoord te maken. Sla dit op in uw kluis van LastPass en voer het nieuwe wachtwoord tegelijkertijd in op de website.
<h2><strong>Vergeet de beveiligingsvragen niet.</strong></h2>
Websites vragen u vaak om antwoorden op een speciale beveiligingsvraag toe te voegen om uw account veiliger te maken. Helaas zijn deze vragen vaak echter absoluut niet goed voor de veiligheid. De informatie wordt niet versleuteld, en het antwoord kan vaak gevonden worden met een paar handige zoekopdrachten. Gebruik de wachtwoordgenerator en maak onzinantwoorden aan voor deze beveiligingsvragen. Sla het antwoord op in uw kluis als een notitie bij de website. De meisjesnaam van uw moeder is voor dit account nu bijvoorbeeld sPEcTOpeRoseNctuLAte.

Kort samengevat: de beste manier om te voorkomen dat hackers profiteren van een beveiligingslek zoals dat van Yahoo, is om geen wachtwoorden dubbel te gebruiken, en om altijd sterke en unieke wachtwoorden te kiezen voor iedere website, ieder account en iedere toepassing die u gebruikt. Als u onze stappen hebt gevolgd, hoeft u zich geen zorgen meer te maken wanneer – niet als – het volgende beveiligingslek zich voordoet. U hoeft maar één wachtwoord te wijzigen, en u hoeft zich geen zorgen te maken over uw andere online accounts. Waar wacht u nog op? Verbeter direct de veiligheid van uw wachtwoorden voor al uw accounts!

Tijd om al uw wachtwoorden te wijzigen

2016 is het Jaar van het Nieuwe Wachtwoord. Net toen we dachten dat het niet erger kon met alle datalekken, werd pas <a href="http://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P">bekendgemaakt[..]

Zoals u waarschijnlijk regelmatig hebt gezien in het nieuws de afgelopen weken, hebben veel grote providers van social media, zoals <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> en <a href="https://www.wired.com/2016/05/hack-brief-old-myspace-account-just-came-back-haunt/">MySpace</a>, onlangs te maken gehad met gegevenslekken en beveiligingsincidenten. Bij dergelijke omvangrijke gegevenslekken is het helaas zo dat er meteen miljoenen gebruikersnamen en wachtwoorden vrij beschikbaar zijn voor iedereen die er misbruik van wil maken. De eenvoudigste manier voor aanvallers om die aanmeldingsgegevens te gebruiken, is door met dezelfde combinaties van gebruikersnaam en wachtwoord proberen in te loggen op andere websites.

Het feit dat veel mensen wachtwoorden hergebruiken, betekent dat aanvallers snel toegang zullen krijgen tot accounts op andere websites via een zogenaamde “password-reuse attack”, een aanvalsmethode op basis van hergebruikte wachtwoorden. Op de nieuwe website zelf is geen beveiligingsprobleem opgetreden, maar de gebruikers van die site lopen nu gevaar omdat ze dezelfde wachtwoorden voor verschillende websites hebben gebruikt. Wij bevinden ons in de gelukkige positie dat we een van de populairste programma's voor wachtwoordbeheer leveren, maar dat is nog geen garantie dat onze service niet zal worden aangevallen. Het hergebruik van wachtwoorden is inmiddels echter zo ingeburgerd (ondanks de gevaren ervan) dat we er alles aan doen om onze gebruikers te beschermen, zelfs als dat betekent dat we ze tegen zichzelf in bescherming moeten nemen.

Ons team van beveiligingsexperts voert daarom constant controles op internet uit om gebruikersnamen en wachtwoorden te vinden die openbaar zijn geworden nadat andere websites zijn gehackt. Zodra we op de hoogte zijn van nieuwe lekken, vragen we onmiddellijk de lijsten met gelekte gebruikersnamen en wachtwoorden op en vergelijken deze met ons eigen gebruikersbestand om te kijken of er een match is voor LastPass-accounts. Als dat het geval is, wordt het account direct uitgeschakeld om de kluis van de gebruiker te beschermen. Dit is iets wat het team van LastPass al jaren doet om onze gebruikers proactief te beschermen.
<h2><strong>Welke stappen hebben we genomen?</strong></h2>
In het geval van het recente <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">incident bij LinkedIn</a>, zijn de gegevens een paar jaar geleden maar is de lijst met gebruikersnamen en wachtwoorden pas nu online gezet. Wij hebben hierop gereageerd door alle LastPass-gebruikersaccounts uit te schakelen die een match zijn met de gelekte aanmeldingsgegevens. Voor alle duidelijkheid: <em>er is geen sprake van gegevensdiefstal of een beveiligingsprobleem bij LastPass</em>. Het betreft hier een proactieve maatregel van ons om de gebruikers te beschermen die hun wachtwoord hebben hergebruikt op andere websites die wel zijn gehackt.
<h2><strong>Beschikt LastPass over mijn moederwachtwoord?</strong></h2>
Nee, LastPass heeft nooit toegang tot uw moederwachtwoord. Als wachtwoorden worden gelekt van andere websites, worden die gegevens door ons verwerkt via scripts om een aanmeldingspoging te simuleren. Het script voert de standaard-PBKDF2-hashing uit die LastPass altijd gebruikt wanneer u zich aanmeldt. Op die manier kunnen we controleren of het ingevoerde wachtwoord juist is. Vervolgens vergelijken we het resultaat van het script met de wachtwoord-hash die is opgeslagen in onze database. Als de hashes overeenkomen, weten we dat het wachtwoord is hergebruikt met uw LastPass-account en wordt het account uitgeschakeld.
<h2><strong>Wat kunnen LastPass-gebruikers doen?</strong></h2>
Als uw account is uitgeschakeld, merkt u dat omdat u zich moet aanmelden vanaf een vertrouwde locatie om daar uw account te verifiëren en weer in te schakelen. Uw account inschakelen:
<ol>
 	<li>Log in via de webportal op <a href="https://lastpass.com/">https://lastpass.com/</a>.</li>
 	<li>Het proces voor het inschakelen van uw account wordt gestart.</li>
 	<li>Log in via de extensie of de portal en u wordt omgeleid naar een pagina voor het resetten van uw moederwachtwoord.</li>
</ol>
Als u tijdens het aanmelden een bericht ziet dat uw account is gedeactiveerd, gaat u naar <a href="https://lastpass.com/">https://lastpass.com</a> om het verificatieproces te starten. Als u inlogt vanaf een onbekend apparaat of een nieuwe locatie, wordt u omgeleid naar een eerder vertrouwd apparaat of naar een andere locatie (IP-adres) waarop u het account eerder hebt geopend.

Als dat is voltooid, kunt u uw account ontgrendelen en uw moederwachtwoord bijwerken met een nieuw, sterker wachtwoord.

We raden u aan om vervolgens met de <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">veiligheidstest van LastPass</a> uw kluis te scannen op andere websites waarvoor u wachtwoorden hebt hergebruikt. LastPass kan u helpen om deze wachtwoorden te vervangen door sterke, unieke wachtwoorden. Zelfs als u uw moederwachtwoord voor LastPass niet hebt hergebruikt, is het nu het aangewezen moment om de veiligheidstest uit te voeren en te controleren of u voor elke website die u gebruikt, een ander wachtwoord hebt ingesteld.

Gebruikers van LastPass beschermen tegen hergebruik van wachtwoord

Zoals u waarschijnlijk regelmatig hebt gezien in het nieuws de afgelopen weken, hebben veel grote providers van social media, zoals <a href="http://arstechnica.com/security/2016/06/how-linkedins-passw[..]

Vorige week <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=dQRos2ioqymOta3j_KIZ1NV2JA28eddehc45d4X9JT8&amp;e=">werd bekend</a> dat zo'n 117 miljoen e-mails en wachtwoorden van LinkedIn uit een hack van 2012 nu verkocht worden op de zwarte markt. De gehackte database bevat 167 miljoen accounts, waarvan 117 miljoen met zowel e-mails als versleutelde wachtwoorden. En enkele weken daarvoor <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__www.reuters.com_article_us-2Dcyber-2Dpasswords-2DidUSKCN0XV1I6&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=EIdMC-wO_aCJlqb7YuXRn8mAS2Mn7Ol0Aher2ktUhvs&amp;e=">kwam naar buiten</a> dat meer dan 250 miljoen e-mailadressen gehackt zijn, inclusief adressen van Google, Yahoo en Microsoft. Er wordt vanuit gegaan dat de gestolen aanmeldingsgegevens in gevaar zijn, maar het is nog niet bekend hoe groot de dreiging precies is. Bij alle beveiligingslekken, maar zeker als de details onduidelijk zijn, is het aan te raden om voorzorgsmaatregelen te nemen om uw account te beveiligen.

<strong>Uw wachtwoorden van LinkedIn,Google, Yahoo &amp; Microsoft wijzigen:</strong> De beste, veiligste wachtwoorden zijn lang, uniek en willekeurig. Zorg ervoor dat u geen wachtwoord kiest dat u ook voor andere accounts gebruikt. Met een uniek wachtwoord voor elke account voorkomt u dat hackers toegang kunnen krijgen tot uw andere accounts als een van uw accounts wordt gehackt in een gegevensdiefstal zoals deze. De beste optie? Gebruik een <a href="https://lastpass.com/generatepassword.php">wachtwoordgenerator</a> om te profiteren van de hoogste mate van bescherming.

<strong>Wees proactief met overige wachtwoorden</strong><strong>:</strong> Doe de <a href="https://helpdesk.lastpass.com/lastpass-security-challenge/">veiligheidstest van LastPass</a> om te zien waar u mogelijk een zwak, gehackt of elders gebruikt wachtwoord hebt ingesteld. Let vooral op accounts waarbij u misschien wachtwoorden voor Google, Yahoo of Microsoft opnieuw hebt gebruikt. De test kan u helpen waar nodig maatregelen te nemen en kan deze wachtwoorden zelfs automatisch voor uw vervangen.

<a href="https://lastpass.com/challenge" target="_blank"><button>Veiligheidstest van LastPass</button></a>

<strong>Tweeledige verificatie inschakelen </strong>Als u voor belangrijke accounts tweeledige verificatie inschakelt, kan een hacker die uw wachtwoord kent geen toegang krijgen tot uw account als hij daarnaast niet ook over aanvullende gegevens beschikt, zoals een eenmalige code die door een app op uw telefoon is gegenereerd of een vingerafdruk. Tweeledige verificatie is ongelofelijk belangrijk voor uw e-mailadres, dat in feite de toegangspoort is naar alles wat u doet online, bijvoorbeeld internetbankieren, betalingen met creditcards, investeringen etc. Als u een LastPass-gebruiker bent, raden we u aan <a href="https://blog.lastpass.com/2015/01/the-one-thing-you-can-do-right-now-to-be-more-secure-online-multifactor-authentication.html">tweeledige verificatie in te stellen</a> in uw LastPass-account. U stelt als volgt tweeledige verificatie in voor de gehackte bedrijven:
<ol>
 	<li><a href="https://www.linkedin.com/help/linkedin/answer/544">LinkedIn</a></li>
 	<li><a href="https://www.google.com/landing/2step/" target="_blank" rel="noopener noreferrer">Google</a></li>
 	<li><a href="https://help.yahoo.com/kb/SLN5013.html" target="_blank" rel="noopener noreferrer">Yahoo</a></li>
 	<li><a href="http://windows.microsoft.com/en-us/windows/two-step-verification-faq" target="_blank" rel="noopener noreferrer">Microsoft</a></li>
</ol>
Helaas is het voorval met de gestolen wachtwoorden van gebruikers van Google, Yahoo en Microsoft al lang geen uitzondering meer en het lijkt erop dat we in de toekomst steeds vaker te maken zullen krijgen met dit soort hacks. Met name voor de accounts die als het ware een 'toegangspoort' vormen naar de rest van uw online leven, is het belangrijk dat u uw beveiliging goed op orde heeft. Gegevensdiefstal op zo'n grote schaal kan beangstigend zijn, maar door deze stappen te volgen, kunt u zichzelf geruststellen en uw vertrouwelijke gegevens beschermen

Voorzorgsmaatregelen na een e-mailhack

Vorige week <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&amp;d=CwMFaQ&amp;[..]

Denkt u dat phishing achterhaald is? U hebt het mis. Ondanks intelligentere spamfilters vermeldde de <a href="http://www.antiphishing.org/">Anti-Phishing Working Group </a> een toename van 18% voor unieke phishinggevallen in het laaste kwartaal van 2014. Beveiligingsexperts verwachten dat deze stijging zich voortzet in 2016.

Phishing blijft een populaire methode om gevoelige informatie te verkrijgen, zoals wachtwoorden, beveiligingscodes, creditcardgegevens. Ook wordt het gebruikt om malware op apparaten en bedrijfssystemen te smokkelen. Zelfs LastPass-accounts kunnen het doelwit zijn van een phishingaanval. Beveiliging tegen phishing is gebaseerd op twee benaderingen: slimmere opsporing door de software die we gebruiken, en een betere individuele voorbereiding als eerste verdediging tegen een aanval.

Hieronder leest u hoe LastPass phishing bestrijdt en wat u zelf kunt doen om phishing beter te herkennen en uw gevoelige informatie te beschermen als u met een aanval te maken krijgt.
<h2>Wat is phishing?</h2>
Phishing kan vele vormen aannemen. Soms wordt gebruik gemaakt van e-mails met de huisstijl van uw bank, waarin wordt gevraagd om activiteiten op uw rekening te bevestigen. Ook zijn er nepfacturen, waarin u wordt uitgenodigd om de bijlage te downloaden en uw aankoop te bevestigen. Advertenties en links op social media kunnen malware bevatten. Sommige aanvallers verwijzen u naar een aanmeldpagina die een vrijwel exacte kopie is van een bekende website die u gebruikt en vertrouwt.

Bij spear-phishing wordt de aanval persoonlijk. Aanvallers sturen u e-mails die afkomstig lijken te zijn van een collega of uw baas, of zelfs van uw IT-afdeling. Ze laten hun verzoek legitiem lijken met behulp van de informatie die ze over u hebben verkregen, zodat ze nog meer informatie kunnen opvragen, u een schadelijk bestand laten downloaden of geld laten overmaken.
<h2>Het herkennen van phishingaanvallen</h2>
Veel phishingaanvallen zijn gemakkelijk te herkennen. Sommigen zijn echter veel geavanceerder en dan is er een gezonde portie scepsis voor nodig om de verdachte e-mails, links en meldingen te herkennen. Zo herkent u een standaard phishingaanval:
<ul>
	<li><strong>Controleer de URL</strong>: Bekijk de link in de adresbalk of houd de muis boven een koppeling om de link linksonder in uw browser te kunnen zien. Ga na of de URL klopt voordat u verder gaat. Bij LastPass ziet u bijvoorbeeld altijd <a href="https://lastpass.com">https://lastpass.com</a> of <a href="https://subdomain.lastpass.com">https://subdomain.lastpass.com</a>. Een phishing-URL zou er dan bijvoorbeeld zo uit kunnen zien: <a href="http://lastpass.otherdomain.com">http://lastpass.otherdomain.com</a>.In dit geval is het domein dus "otherdomain.com", en dient u het te vermijden.

[caption id="attachment_48365" align="aligncenter" width="320"]<img class="size-full wp-image-48365" src="https://cdn.lputil.com/wp-content/uploads/949128864566150468.jpg" alt="Image credit: Lifehacker" width="320" height="110" /> Image credit: <a href="http://lifehacker.com/5873050/how-to-boost-your-phishing-scam-detection-skills">Lifehacker</a></figure></div></li>
</ul>
<ul>
	<li><strong>Bekijk de geadresseerde</strong>: Wees extra voorzichtig met e-mails aan 'geachte klant' of zonder aanhef. Tegenwoordig schrijven de meeste legitieme verkopers u aan met naam. Bij spear-phishing wordt echter wordt de aanval specifiek op u gericht, dus dit is geen waterdichte methode.</li>
</ul>
<ul>
	<li><strong>Start zelf een website</strong>: Als u het niet vertrouwt, open dan een nieuw tabblad of nieuw browservenster en tik de URL direct in de adresbalk in (of start vanuit uw wachtwoordbeheer). Dan weet u dat u naar een legitieme site gaat.<img class="aligncenter size-full wp-image-48385" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.14.38-AM-2.png" alt="Screen Shot 2016-01-20 at 9.14.38 AM (2)" width="458" height="186" /></li>
</ul>
<ul>
	<li><strong>Controleer of uw wachtwoordbeheer aanmeldgegevens invoert</strong>: LastPass kan helpen om u tegen phishing te beschermen, omdat het uw aanmeldgegevens niet automatisch invoert op een nepwebsite. Aangezien het domein niet overeenkomt met het domein dat in LastPass is opgeslagen, worden uw gegevens niet ingevoerd. Als u ziet dat dit gebeurt, controleer dan de URL.</li>
</ul>
<ul>
	<li><strong>Als het bericht dringend lijkt, neem dan juist de tijd</strong>: Als een bericht erop gericht is om u snel tot handelen aan te zetten om vervelende gevolgen te voorkomen, is het doel vaak om ervoor te zorgen dat u iets doet zonder er eerst bij na te denken.</li>
</ul>
<ul>
	<li><strong>Stel uzelf de volgende vragen</strong>: Heb ik deze persoon gevraagd om mij een bijlage te sturen? Is dit vreemd gedrag van de afzender? Als u sceptisch bent, blijf dan twijfelen en vraag de afzender om bevestiging.</li>
</ul>
<ul>
	<li><strong>Controleer de link op HTTPS:// en op de aanwezigheid van een pictogram met een hangslot</strong>: Als u een website bezoekt, controleer dan in de adresbalk dat u een beveiligde verbinding maakt via HTTPS en dat er een hangslot wordt weergegeven. Dit betekent dat de website door een onafhankelijke beveiligingsfirma is gecontroleerd. <img class="aligncenter size-full wp-image-48405" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.16.41-AM-2.png" alt="Screen Shot 2016-01-20 at 9.16.41 AM (2)" width="629" height="134" /></li>
</ul>
<h2>Als phishing uw wachtwoorbeheerder aanvalt</h2>
Phishing-aanvallen blijven niet meer alleen beperkt tot schadelijke e-mails, advertenties of links op social media. Sommige phishingaanvallen richten zich ook op de extensies die u in uw browser gebruikt. Hieronder valt ook het nadoen van een wachtwoordbeheerder.

Zo kan een malware-website uw <a href="https://lastpass.com/support.php?cmd=showfaq&amp;id=10072">browserextensie imiteren</a> door meldingen weer te geven die informatie vragen zoals uw gebruikersnaam, wachtwoord en een code voor tweeledige verificatie. Het kan lastig zijn om te herkennen dat deze meldingen van een kwaadaardige website komen, en niet van uw browserextensie.
<h2>Hoe LastPass u beschermt tegen phishingaanvallen</h2>
<ul>
	<li><strong>Waarschuwing dat uw moederwachtwoord ingevuld is op een pagina die niet van LastPass is</strong>: LastPass geeft u een duidelijke waarschuwing nog voordat u uw moederwachtwoord invult op een pagina, iedere keer dat u probeert om uw LastPass moederwachtwoord in te voeren in een pagina die niet van LastPass is. U weet dan direct dat uw moederwachtwoord wellicht achterhaald is en kunt het direct wijzigen.</li>
</ul>
<ul>
	<li><strong>Verificatie vragen voor aanmeldingen vanaf onbekende locaties of apparaten</strong>: LastPass heeft een extra verificatieproces dat iedere keer in werking treedt als u probeert om u aan te melden vanaf een onbekende locatie of een onbekend apparaat. Als u dus onbedoeld uw moederwachtwoord en tweeledige gegevens invoert op een valse website, worden pogingen van de hackers om die gegevens te gebruiken tegengegaan door de e-mailverificatie. De aanvaller heeft voor zijn aanval dan ook toegang nodig tot uw e-mailaccount. Dit risico kunt u tegengaan door hiervoor ook tweeledige verificatie toe te passen. Als u een verificatieverzoek ontvangt zonder dat u zich hebt aangemeld, kunt u dit veilig negeren en uw moederwachtwoord updaten in de accountinstellingen voor uw kluis van LastPass.</li>
</ul>
<ul>
	<li><strong>Afmelden voorkomen</strong>: Een kwaadaardige pagina kan een valse LastPass-melding weergeven waarin wordt aangegeven dat u zich afgemeld hebt, waarna u zich vervolgens opnieuw aan moet melden. Controleer of u nog bent aangemeld in de LastPass-extensie, en meld u alleen aan via deze extensie.</li>
</ul>
Naast deze beveiligingen moedigen we ook Google en andere browsers aan om ons te helpen bij het beveiligen van onze gebruikers, door veilige manieren aan te bieden om meldingen weer te geven buiten de viewport van de browser.
<h2>Hoe u kunt helpen om uw LastPass-account te beveiligen</h2>
Naast de bestaande veiligheidsmaatregelen die wij hebben ingesteld, kunt u zelf ook helpen om uw kluis veilig te houden. Volg hiervoor de volgende best practices:
<ul>
	<li><strong>Meld u altijd aan via de LastPass-extensie</strong>: De veiligste manier om u aan te melden bij LastPass is door in de werkbalk van uw browser op het pictogram van de extensie te klikken.  <img class="aligncenter wp-image-48425" src="https://cdn.lputil.com/wp-content/uploads/sites/20/2020/04/ncsam2019finalblogbanner.jpg" alt="Screen Shot 2016-01-20 at 9.24.22 AM (2)" width="232" height="325" /></li>
</ul>
<ul>
	<li><strong>Gebruik uw moederwachtwoord nooit elders</strong>. Als u uw moederwachtwoord ook elders gebruikt, vergroot dit het risico dat iemand in uw kluis kan inbreken. Gebruik altijd een uniek wachtwoord voor LastPass. U ontvangt een waarschuwing als u dit wachtwoord intikt als u zich niet bij LastPass wilt aanmelden.</li>
</ul>
<ul>
	<li><strong>Pas op waar u LastPass downloadt</strong>. Download LastPass alleen van LastPass.com of van de addon-stores van uw browser of apparaat. Maak nooit gebruik van downloadwebsites van derden. Wees in addon-stores ook bedacht op toepassingen die eruit zien als LastPass, maar een andere uitgever hebben, en geen beoordelingen.</li>
</ul>
<ul>
	<li><strong>Deel uw moederwachtwoord met niemand</strong>. Het team van LastPass vraag u <em>nooit </em> naar uw moederwachtwoord. Als iemand zegt van LastPass te zijn en vraagt om uw moederwachtwoord, wees dan voorzichtig. Geef uw wachtwoord nooit.</li>
</ul>
<ul>
	<li><strong>Voeg tweeledige verificatie toe</strong>. Een goede beveiliging vertrouwt op verschillende beschermingslagen die risico's verkleinen. <a href="http://helpdesk.lastpass.com/multifactor-authentication-options/">Tweeledige verificatie</a> vereist extra informatie voordat u toegang krijgt tot uw account. Hoewel dit geen waterdichte methode is, versterkt dit de beveiliging van uw account aanzienlijk.</li>
</ul>
<ul>
	<li><strong>Bescherm uw e-mail met een sterk wachtwoord en tweeledige verificatie</strong>. Vaak bevat uw e-mailaccount de sleutels tot uw digitale leven. Bescherm dit account alsof uw digitale leven ervan afhangt. Dat is namelijk vaak daadwerkelijk het geval. LastPass kan een sterk maar "uitspreekbaar" wachtwoord aanmaken voor uw e-mail, dat u eventueel nog steeds kunt onthouden als u wilt. Als uw e-mailprovider tweeledige verificatie aanbiedt, maak hier dan altijd gebruik van.</li>
</ul>
Veilig blijven online is moet een continue inspanning zijn van ons allemaal. LastPass werkt continu aan het verbeteren van ons product terwijl nieuwe bedreigingen opkomen, en werkt samen met de gemeenschap van beveiligingsonderzoekers om ons product te versterken. Tegelijkertijd moeten wij als gebruikers ook continu de best practices op het gebied van beveiliging blijven volgen.

Beveilig uzelf tegen phishing

Denkt u dat phishing achterhaald is? U hebt het mis. Ondanks intelligentere spamfilters vermeldde de <a href="http://www.antiphishing.org/">Anti-Phishing Working Group </a> een toename van 18% voor un[..]

Wie de meervoudige verificatie van LastPass gebruikt (en wie dat nog niet doet , <a href="https://blog.lastpass.com/nl/2015/07/two-factor-authentication-what-it-is-why-you-need-it.html/">kan er maar beter mee beginnen</a>!), kent misschien de optie een apparaat “te vertrouwen”. Door een apparaat te vertrouwen onthoudt LastPass die computer, telefoon, of tablet. De volgende keer dat u met dat apparaat inlogt bij LastPass, slaat u de tweede stap in het meervoudige verificatieproces over. Uw account is uiteraard nog altijd beschermd door de meervoudige verificatie, maar voor u als gebruiker is het natuurlijk prettig om de tweede stap van het inlogproces over te kunnen slaan op een vertrouwd apparaat.

Nu, zal de "vertrouwde" status van apparaten na 30 dagen verlopen om de beveiliging van uw LastPass-account nog beter te kunnen waarborgen.
<h2><strong>Wat u moet weten:</strong></h2>
<ul>
	<li>Als u op dit moment meervoudige verificatie gebruikt bij LastPass en een apparaat als vertrouwd hebt gemarkeerd, krijgt u binnen 30 dagen te laten verlopen.</li>
	<li>Of u een vertrouwd apparaat nu regelmatig gebruikt of niet, u zult elke 30 dagen te laten verlopen.</li>
	<li>Natuurlijk kunt u uw apparaat gelijk opnieuw als vertrouwd markeren.</li>
	<li>Deze verandering geldt voor zowel desktop- als mobiele toepassingen.</li>
	<li>Tegenwoordig, is het niet mogelijk de nieuwe veiligheidsinstellingen – het elke 30 dagen te laten verlopen.</li>
</ul>
<h2><b>Waarom verloopt de status “vertrouwd”?</b></h2>
Het belang van meervoudige verificatie voor uw LastPass-account hebben we al vaak besproken. Meervoudige verificatie beschermt tegen ongeautoriseerde toegang tot uw LastPass-kluis. Indien u deze toepassing heeft ingeschakeld, bent u verplicht iets in te vullen dat u heeft (bijvoorbeeld een code van een app of een YubiKey) of iets persoonlijks (bijvoorbeeld uw vingerprint) voordat u toegang krijgt tot uw account.

In het theoretische geval dat iemand uw moederwachtwoord steelt, heeft deze persoon nog steeds geen toegang tot uw account zonder de meervoudige verificatie code. LastPass ondersteunt meer <a href="http://lastpass.com/multifactor-authentication/">meervoudige verificatieopties dan enige </a>andere wachtwoordmanager, dus vindt u zeker een optie die past bij uw apparaten en aansluit op uw werkprocessen.

Een apparaat als “vertrouwd” markeren is natuurlijk hartstikke gemakkelijk, want zo kunt u de tweede stap van het meervoudige verificatieproces overslaan op specifieke, vertrouwde apparaten en tegelijkertijd de veiligheidsvoordelen behouden die meervoudige verificatie biedt. Maar wat als u vergeet dat u een apparaat als vertrouwd heeft gemarkeerd , en dat apparaat verliest, of als het gestolen wordt, Dan kan het feit dat het apparaat “vertrouwd” wordt, uw LastPass-account kwetsbaar maken.

Door de vertrouwde status van apparaten na 30 dagen te laten verlopen, heeft u steeds opnieuw de keuze of u een apparaat wilt blijven vertrouwen.
<h2><b>Hoe verwijder ik vertrouwde apparaten</b></h2>
Als het om wat voor reden ook nodig is om een apparaat (tijdelijk) niet meer te vertrouwen, kunt u eenvoudig de verschillende vertrouwde apparaten bekijken en aanpassen:
<ol>
	<li>Login to LastPass.</li>
	<li>Open uw LastPass kluis.</li>
	<li>Ga naar “Account Settings” .</li>
	<li>Om Desktop apparaten te bekijken, klik de “Vertrouwde Apparaten” tab .</li>
	<li>Om Mobiele apparten te bekijken, klik de “Mobiele Apparaten” tab .</li>
	<li>Bekijk de geselecteerde apparaten.</li>
	<li>Gebruik de “x”optie om apparaten te verwijderen die u niet meer vertrouwt .</li>
</ol>
<h2><strong>-Update 12/16/2015</strong></h2>
Prefer not to use this security setting? You can now turn it off in your LastPass Vault by launching your Account Settings, selecting the “Show Advanced” option, and checking the “Skip 30 day expiration for trusted clients” omgeving.

Nieuw in Security: apparaten 30 dagen vertrouwd

Wie de meervoudige verificatie van LastPass gebruikt (en wie dat nog niet doet , <a href="https://blog.lastpass.com/nl/2015/07/two-factor-authentication-what-it-is-why-you-need-it.html/">kan er maar b[..]

Afgelopen Woensdag, 18 februari, werd bekend dat Lenovo-apparaten met voorgeïnstalleerde adware zijn verkocht, die veilige verbindingen met websites ondermijnt en gevoelige gebruikersinformatie blootlegt.

Gebruik meteen onze tool: <a href="https://lastpass.com/superfish/">www.LastPass.com/superfish</a> om te controleren of ook jij door veiligheidsrisiko van Superfish getroffen bent.
<h2>Wat is het veiligheidsrisiko van Superfish?</h2>
De afgelopen twee jaar werden Lenovo-producten met een voorgeïnstalleerde software geleverd met de naam Superfish Visual Discovery. De Superfish-software voegt advertenties in tussen zoekresultaten op Google om de <a href="https://forums.lenovo.com/t5/Lenovo-P-Y-and-Z-series/Lenovo-Pre-instaling-adware-spam-Superfish-powerd-by/td-p/1726839/page/3">“gebruiker te helpen visueel producten te vinden en te ontdekken”</a>.

Echter, heeft men nu ontdekt dat de Superfish-software zelfondertekende veiligheidscertificaten installeert om ervoor te zorgen, dat het programma altijd door de computer wordt vertrouwd. Hierdoor is het programma via man-in-the-middle-aanvallen in staat om verondersteld beveiligde communicatie met website te onderscheppen. Onderzoekers hebben ook bevestigd dat hackers, die in hetzelfde netwerk actief zijn, zoals bijvoorbeeld bij een openbare wifi-hotspot, Superfish kunnen gebruiken om inloggegevens voor internetbankieren te stelen of e-mails te lezen.
<h2>Hoe wordt LastPass hierdoor beïnvloed?</h2>
LastPass maakt gebruik van SSL als extra beveiligingslaag, naast nog andere versleutelingssystemen. Als je via de LastPass-browserextensie inlogt, bestaat er geen extra risico met betrekking tot man-in-the-middle-aanvallen. Als je inlogt via de <a href="http://www.lastpass.com/">LastPass.com</a> website, is het risico iets hoger, maar we hebben geen reden om te veronderstellen, dat er een wezenlijk gevaar bestaat voor LastPass-gebruikers. We hebben geen aanwijzingen, dat dit veiligheidsprobleem gebruikt is om specifiek LastPass-gebruikers aan te vallen, en ook het oorspronkelijke doel van de software, namelijk het ondersteunen van advertenties, biedt geen aanleiding tot bezorgdheid.
<h2>Onderneem meteen stappen om je tegen Superfish te beschermen.</h2>
Het goede nieuws is, dat Lenovo gestopt is met het voorinstalleren van Superfish sinds januari 2015. Het slechte nieuws is, dat er al miljoenen Lenovo-laptops (we hebben geen precieze lijst van betroffen apparaten) met de Superfish-software verkocht zijn. Het lijkt erop dat Superfish op de computers waarop het programma geïnstalleerd is Internet Explorer en Chrome beïnvloedt.

Met onze Superfish-tester: <a href="https://lastpass.com/superfish/">https://lastpass.com/superfish/</a> kan je achterhalen of Superfish ook op jouw computer is geïnstalleerd en of het een veiligheidsrisico voor jou vormt.

<strong>Als je Superfish op je computer hebt, moet je als eerste het Superfish-programma verwijderen:</strong>
<ul>
	<li>Klik op de Windows-Startknop</li>
	<li>Zoek naar "programma's verwijderen"</li>
	<li>Start de applicatie om programma's te verwijderen</li>
	<li>Klik met de rechter muisknop op "Superfish Inc VisualDiscovery" en kies "verwijderen"</li>
	<li>Als je naar het beheerderswachtwoord wordt gevraagd, vul dit dan in en bevestig</li>
</ul>
<strong>Daarna moet je ook de Superfish-certificaten wissen:</strong>
<ul>
	<li>Klik op de Windows-Startknop</li>
	<li>Typ "certmgr.msc" in het zoekveld in</li>
	<li>Klik op het "certmgr.msc"-programma om het te starten</li>
	<li>Als je naar het beheerderswachtwoord wordt gevraagd, vul dan het wachtwoord in en bevestig</li>
	<li>Klik op "Vertrouwde Veiligheidscertificaten"</li>
	<li>Open de certificaten</li>
	<li>Zoek naar certificaten met de naam "Superfish Inc"</li>
	<li>Klik met de rechter muisknop op alle Superfish Inc-certificaten en wis ze</li>
	<li>Start opnieuw je browser</li>
</ul>
<strong>Nadat je je systeem hebt schoongemaakt:</strong>
<ul>
	<li>Download LastPass om te beginnen met het beheren van je wachtwoorden: <a href="https://lastpass.com/misc_download2.php">www.LastPass.com</a></li>
	<li>Start de <a href="https://lastpass.com/?securitychallenge=1&amp;lang=en-us">Veiligheidstester</a> (in het gereedschapsmenu in je LastPass-browserextensie).</li>
	<li>Maak gebruik van de automatische passwordverandering om meteen zwakke en dubbel gebruikte wachtwoorden te vernieuwen.</li>
	<li>Vervang ook ander zwakke en dubbel gebruikte wachtwoorden met de LastPass-passwordgenerator.</li>
	<li>Vernieuw wachtwoorden voor kritische websites zoals e-mail, internetbankieren, en sociale netwerken.</li>
</ul>
We werken er verder aan om onze LastPass-tools voor het controleren van bedreigingen te verbeteren, zodat je altijd over alle veiligheidsrisico's op de hoogte bent. Ook in de toekomst zullen we de situatie in de gate houden en onze gemeenschap over gebeurtenissen informeren.

Loop Ook Jij Gevaar door Superfish? Controleer het Nu.

Afgelopen Woensdag, 18 februari, werd bekend dat Lenovo-apparaten met voorgeïnstalleerde adware zijn verkocht, die veilige verbindingen met websites ondermijnt en gevoelige gebruikersinformatie blootl[..]

Na alweer een <a href="http://krebsonsecurity.com/2015/02/data-breach-at-health-insurer-anthem-could-impact-millions/">gigantisch datalek</a> is de vraag naar hoe je jezelf kan beschermen tegen identiteitsfraude en hackers voor miljoenen Amerikanen weer opgelaaid. Kortgeleden, heeft de grootste gezondheidsverzekeraar in het land, Anthem, <a href="http://www.anthemfacts.com/">een veiligheidslek bekend gemaakt</a> waarbij waarschijnlijk gevoelige gegevens van een goede 80 miljoen klanten zijn gelekt.

Volgens Anthem, betreft het de gegevens van zowel huidige alsook vroegere klanten. Het gaat om informatie zoals:, “namen, geboortedata, verzekerings- en persoonsnummers, woonadressen, e-mailadressen en werkgeverinformatie, waaronder ook salarisgegevens.” Het lijkt er ook op dat de gegevens <a href="http://www.wsj.com/articles/investigators-eye-china-in-anthem-hack-1423167560">niet versleuteld waren</a>. Gezien de grootte van de onderneming en de omvang van het datalek, lopen op het moment tientallen miljoenen Amerikanen het risico slachtoffer te worden van identiteitsdiefstal of fraude.

Het frustrerendste aan zulke dataleks is waarschijnlijk, dat je als klant volledig machteloos staat. Geen enkele veiligheidsmaatregel met betrekking tot veilige omgang met wachtwoorden of bescherming bij het browsen had dit kunnen voorkomen. Echter, er zijn een paar dingen, die je kan doen om mogelijke schade te minimaliseren .
<h2>Bescherm Jezelf Tegen Phishingaanvallen</h2>
Het directe gevolg van dit veiligheidsincident is waarschijnlijk dat <a href="http://krebsonsecurity.com/2015/02/phishers-pounce-on-anthem-breach/">phishingaanvallen gericht op Anthem-klanten</a> zullen toenemen.<a href="http://en.wikipedia.org/wiki/Phishing">Phishingaanvallen</a> zijn er in het algemeen op gericht om meer informatie van je te achterhalen (zoals gebruikersnamen, wachtwoorden, en creditcardgegevens) of ook om direct geld te stelen.

De cybercriminelen zouden gebruik kunnen maken van de informatie, die ze al hebben, zoals je naam en e-mailadres, om je te contacteren, en door zich voor te doen als een vertrouwenswaardige onderneming meer informatie van je te verkrijgen of je ertoe aan te zetten iets te downloaden.

In het verleden was het zo, dat je een phishing-e-mail kon herkennen door goed op te letten op bijvoorbeeld schrijffouten, verdachte bijlagen, verdachte links die achter ogenschijnlijk vertrouwenswaardige links schuilgaan, en bang makende berichten, die je tot directe actie proberen aan te zetten. Om meer informatie over je te verkrijgen doen Cybercriminelen zich voor als gewone dienstaanbieders of websites en leiden je om naar kwaadaardige websites of downloads zodra je toehapt.

In dit <a href="http://www.microsoft.com/security/online-privacy/phishing-symptoms.aspx">voorbeeld van Microsoft</a>, kan je zien hoe phishing-e-mails er in het verleden vaak uitzagen:

<a href="https://cdn.lputil.com/wp-content/uploads/phishing_email_example.jpg"><img class="aligncenter size-full wp-image-40885" src="https://cdn.lputil.com/wp-content/uploads/phishing_email_example.jpg" alt="phishing_email_example" width="600" height="211" /></a>

Echter, zijn er beduidende verschillen met de phishing-e-mails van nu. Phishingaanvallen zijn met de tijd veel geraffineerder geworden, en slecht geschreven e-mails zijn vervangen door professionele replica's, die je bijna niet meer van authentieke berichten kan onderscheiden.

<a href="http://www.anthemfacts.com/">Anthem heeft aangegeven</a> dat ze getroffen klanten per post (niet per e-mail of telefoon) zullen informeren over volgende stappen, die te nemen zijn. Vele Anthem-klanten hebben al laten weten de onderstaande e-mail (of variaties daarop) te hebben ontvangen of door bedriegers te zijn gebeld:

<img class="aligncenter size-full wp-image-40875" src="https://cdn.lputil.com/wp-content/uploads/anthemphish.jpg" alt="anthemphish" width="521" height="702" />De bovenstaande e-mail ziet er al veel overtuigender uit. Als je vermoedt dat je een phishing-e-mail hebt ontvangen of geopend, vind je hier wat je moet doen:
<ul>
	<li>Klik niet op links of bijlagen.</li>
	<li>Informeer de betreffende organisatie over de vermoedelijke phishing-e-mail.</li>
	<li>Bestand <a href="https://www.ftccomplaintassistant.gov/#nb">een FTC-klacht</a> (voor VS-burgers) of een gelijksoortige klacht in het land waar je woont in.</li>
	<li>Als je twijfelt, ga dan direct naar de website van de betreffende dienst, en log je in om je account te controleren.</li>
	<li>Kijk op de officiële website van de onderneming, of je artikelen, waarschuwingen, of ander informatie over veiligheidsincidenten en hoe de onderneming daarmee omgaat kan vinden.</li>
</ul>
Het hebben van een <a href="https://blog.lastpass.com/nl/2015/01/youll-get-hacked-with-these-passwords-heres-how-to-fix-that.html/">sterk, uniek wachtwoord</a> voor ieder onlineaccount, dat je gebruikt, helpt je ook om eventuele schade te minimaliseren, die door dataleks of phishing worden veroorzaakt. Gebruik de <a href="https://blog.lastpass.com/nl/2015/02/keep-your-password-security-resolutions.html/">LastPass-veiligheidstester</a> om je passwords te controleren en zwakke of meervoudig gebruikte wachtwoorden te vervangen.
<h2>Kenmerk Je Credietregistratie Als "Bedreigd"</h2>
Het toevoegen van een bedreigingswaarschuwing aan je credietregistratie heeft tot gevolg, dat iedereen die gebruik wil maken van jouw credietregistratie, extra stappen moet ondergaan om jouw identiteit te bewijzen. Ze kunnen nog steeds je gegevens inzien, maar het wordt veel moeilijker gemaakt om op jouw naam een creditcard aan te vragen, een bankrekening te openen, of het postadres van jouw rekeningen te wijzigen.

Je hoeft maar één van de drie grootste credietregistratiebureau's te vragen om een bedreigingswaarschuwing aan jouw credietregistratie toe te voegen, die vervolgens geldt voor 90 30 dagen te laten verlopen. Hier vind je de informatie van de drie grootste credietregistratiebureau's:
<ul>
	<li><a href="https://www.experian.com/fraud/center.html">Experian Credit Fraud Protection</a></li>
	<li><a href="https://www.alerts.equifax.com/AutoFraud_Online/jsp/fraudAlert.jsp">Equifax Fraud Alert Request Form</a></li>
	<li><a href="http://www.transunion.com/personal-credit/credit-disputes/fraud-alerts.page">Transunion Fraud Alerts</a></li>
</ul>
Als je ook je uitreksel bij al deze credietregistratiebureau's aanvraagt, kan je ze controleren op activiteiten, waartoe jij geen opdracht hebt gegeven en ze meteen gebruiken als referentie als je later problemen moet oplossen.

Soms worden ook vergoedingen gevraagd voor het registreren van een bedreigingswaarschuwing, vooral als je de kosteloze 90 dagen overschrijdt. Controleer of de onderneming, die door het datalek getroffen is gratis credietregistratietoezicht aan getroffen klanten aanbiedt, voordat je besluit te betalen voor het verlengen van de bedreigingswaarschuwing.
<h2>Blijf Proactief Met Het Controleren Van Je Credietregistratie</h2>
Ook als je gebruik maakt van de kosteloze bedreigingswaarschuwing, bestaat er nog steeds het risiko, dat bedriegers na afloop van die 90 dagen zullen toeslaan. Voor dat geval, kan je je aanmelden voor gratis credietregistratieberichten.

LastPass-gebruikers in de VS, bijvoorbeeld, kunnen gebruik maken van <a href="https://helpdesk.lastpass.com/lastpass-credit-monitoring/">gratis credietregistratiewaarschuwingen</a>. Wanneer je een formulierinvulprofiel aanmaakt met jouw persoonlijke gegevens, kan je kiezen om meteen ook <a href="https://helpdesk.lastpass.com/lastpass-credit-monitoring/#Enabling+free+credit+monitoring#Enabling+free+credit+monitoring">gratis credietregistratiewaarschuwingen te activeren</a>, die je in staat stellen om proactief op veranderingen te reageren, die je score negatief zouden kunnen beïnvloeden.

Als er een verandering in je gegevens langskomt, waarvan je zeker weet, dat jij daar niet verantwoordelijk voor bent geweest (zoals het aanvragen van een nieuwe creditcard of het opnemen van een nieuwe lening), dan kan je meteen zelf actie ondernemen of het probleem laten onderzoeken en oplossen door naar <a href="https://helpdesk.lastpass.com/lastpass-credit-monitoring/#What+is+LastPass+Premium+credit+monitoring%3F#What+is+LastPass+Premium+credit+monitoring%3F">LastPass Premium-credietregistratietoezicht</a> te upgraden.

Het is trouwens net zo belangrijk om ook al je rekeningafschriften en creditcardafrekeningen te controleren op verdachte transacties. Hier vind je nog een paar <a href="http://lifehacker.com/how-to-monitor-your-own-credit-for-free-forever-1510277742">andere aanbevelingen voor het gratis bewaken van je credietregistratie</a> (via Lifehacker).
<h2>Blijf Waakzaam en Geïnformeerd</h2>
Bij een datalek als dit, is het van het grootste belang om, wanneer de informatie nou eenmaal gelekt is, vooral proactief en waakzaam te blijven. Dat houdt in: <a href="https://blog.lastpass.com/nl/2015/01/7-bad-password-habits-to-break-now.html/">het volgen van de beste passwordrichtlijnen</a>, <a href="https://blog.lastpass.com/nl/2015/01/the-one-thing-you-can-do-right-now-to-be-more-secure-online-multifactor-authentication.html/">het activeren van tweevoudige verificatie</a>, het alert blijven op met wie je gegevens deelt, en het gebruiken van de recentelijkste antivirussoftware.

Onthoud, dat je e-mailadres de toegangspoort is tot je onlineleven. Naast het beveiligen van je accounts, die je in je passwordmanager hebt opgeslagen, moet je vooral niet vergeten om ook je e-mail zo veilig mogelijk te houden. Activeer tweevoudige verificatie., gebruik een lang, uniek password, en pas op wat je aanklikt en download uit e-mails.

Het is nog afwachten wat de gevolgen op lange termijn van het datalek bij Anthem zullen zijn, maar in ieder geval blijven wij de situatie in de gate houden. Ook als je geen klant van Anthem bent is het, hoewel, geen slecht idee om nu al maatregelen te nemen en niet te wachten tot er ook bij andere bedrijven dataleks opduiken, waardoor jij misschien wel getroffen wordt. Nu is precies het juiste moment om proactief met de beveiliging van jouw persoonlijke identiteit en financiële gegevens aan de slag te gaan, en om vrienden, familie, en collega's te helpen hetzelfde te doen.

Bescherm Je Identiteit Na een Datalek

Na alweer een <a href="http://krebsonsecurity.com/2015/02/data-breach-at-health-insurer-anthem-could-impact-millions/">gigantisch datalek</a> is de vraag naar hoe je jezelf kan beschermen tegen identi[..]

Blog

Blog

Meest recent

Nieuws uit de branche

LastPass voor beheerders

LastPass Labs

Productupdates

Tips

Beveiligingsnieuws