密码管理网站 LassPass 遭入侵，所幸用户密码未外泄

密码管理网站 LassPass 惊传资安事件，虽然密码没外泄，但是部分用户的密码提醒、email 账号、authentication hashes，已经被骇客取得。而 LassPass 也赶紧通知受影响用户赶快改密码。

LassPass 在部落格上发文指出，上周五 LassPass 发现可疑活动，已经封锁可疑的连线了。目前 LassPass 会针对从新装置或是新的 IP 位置连线的人，借由 email 确认账户。并且提醒用户要改密码，并且开启两阶段认证。

LassPass 是知名的密码管理网站，让使用者不用记住他所有网站的所有密码，只要一组主控密码，就能够顺利登入各个网站。对使用者来说不必为了能记住所有网站密码，使用简单但安全性低的密码，确保安全。但 LassPass 这类服务有弱点，由于安全因性主控密码不能跟其他密码存一起放到云端，使用者仍得用传统方式记起来，等到需要登入时输入。主控密码仍有可能被骇客用社交手法取得，一旦外泄意味着所有密码都曝光。

云端虽然方便，但在这次事件却曝露云端服务的弱点，容易在资料传输的不同环节遭拦截。云端服务经手不少宝贵资料，自然成为骇客动手的目标，像是先前 Dropbox 被骇，也是着眼宝贵的资料。LassPass 的商业模式是保护使用者密码，提供方便登入网站的服务，会被骇客看上想办法动手骇入也不意外。对用户来说不要取太简单的密码，并且赶快启用二阶段认证，才能保謢好自己的宝贵资料。