LastPass 2026: Klue से जुड़ा आपूर्ति शृंखला डेटा उल्लंघन

Klue एक तृतीय-पक्ष प्लेटफ़ॉर्म था, जिसका इस्तेमाल LastPass की उत्पादों को बाज़ार में लाने वाली टीमें करती थीं और जो Salesforce और Gong के साथ एकीकृत था। LastPass के अनुसार, एक अनधिकृत पक्ष ने वे OAuth टोकन हासिल किए जो Klue के पास कई ग्राहकों के लिए मौजूद थे। उस पक्ष ने LastPass के क्रेडेंशियल का इस्तेमाल करके उसके Salesforce परिवेश तक पहुँच बनाई। इस घटनाक्रम की शुरुआत किसी विश्वसनीय एकीकरण की पहचान के दुरुपयोग से हुई थी, न कि LastPass के पासवर्ड प्रबंधन उत्पाद के बुनियादी ढाँचे में शुरुआती घुसपैठ से।

ज़रूरी नहीं कि OAuth टोकन कोई पासवर्ड हो; यह ऐसा क्रेडेंशियल है जो किसी एकीकृत ऐप्लिकेशन को पहले से दी गई अनुमतियों के दायरे में किसी API या सेवा तक पहुँचने देता है। इसकी चोरी से किसी पक्ष को उसी अनुमत दायरे में काम करने का मौका मिल सकता है। LastPass ने खोले गए हर Salesforce ऑब्जेक्ट, सहायता मामले या बिक्री रिकॉर्ड का विवरण, अनधिकृत पहुँच की पहली तारीख या कॉपी किए गए डेटा की मात्रा का खुलासा नहीं किया।

आधिकारिक बयान में इस जानकारी को सामान्य व्यावसायिक संपर्क और ग्राहक संबंध प्रबंधन डेटा बताया गया है। बताए गए फ़ील्ड में ग्राहकों के नाम, फ़ोन नंबर, ईमेल पते और भौतिक पते के साथ-साथ सहायता मामलों और बिक्री से जुड़ा डेटा शामिल है। LastPass ने यह नहीं कहा कि हर ग्राहक के लिए हर फ़ील्ड मौजूद था या हर सहायता मामले तक पहुँच बनाई गई थी।

सहायता मामलों की सामग्री अलग-अलग हो सकती है। कंपनी ने संदेशों की मुख्य सामग्री, अटैचमेंट, तकनीकी लॉग या अन्य विशिष्ट फ़ील्ड की अलग से पुष्टि नहीं की। इसलिए पासवर्ड, मास्टर पासवर्ड, वॉल्ट की सामग्री, भुगतान डेटा और पहचान दस्तावेज़ों को केवल इस आधार पर सूची में शामिल नहीं किया जाता कि वे सैद्धांतिक रूप से किसी असंबंधित सहायता रिकॉर्ड में मौजूद हो सकते हैं। ग्राहक आधार का आकार, सहायता मामलों की कुल संख्या और LastPass के उपयोगकर्ताओं की कुल संख्या को इस उल्लंघन में प्रभावित लोगों या रिकॉर्ड की संख्या नहीं माना जा सकता।

LastPass ने कहा कि घटना का दायरा Klue के साथ एकीकृत प्रणालियों तक सीमित था और LastPass के उत्पाद, सेवाएँ तथा बुनियादी ढाँचा किसी भी तरह प्रभावित नहीं हुए। ग्राहकों के पासवर्ड वॉल्ट सुरक्षित रहे। यह निष्कर्ष Salesforce में ग्राहक जानकारी तक हुई पुष्ट पहुँच को नकारता नहीं है; यह घटना को मुख्य पासवर्ड प्रबंधक और एन्क्रिप्टेड वॉल्ट सामग्री वाले परिवेश से बाहर रखता है।

जाँच में ऐसा कोई साक्ष्य नहीं मिला कि उस पक्ष ने Gong से जुड़े डेटा तक पहुँच बनाई थी। चूँकि Gong में ग्राहकों की कॉल और ईमेल की सामग्री हो सकती है, इसलिए यह अंतर महत्वपूर्ण है। “कोई साक्ष्य नहीं मिला” जाँच का प्रकाशित निष्कर्ष है। इसका मतलब है कि Gong डेटा तक पहुँच को पुष्ट तथ्य के रूप में सूचीबद्ध नहीं किया जाना चाहिए। ऐसा कोई साक्ष्य प्रस्तुत नहीं किया गया कि LastPass के मास्टर पासवर्ड, संग्रहीत वेबसाइट पासवर्ड या डिक्रिप्शन कुंजियाँ हासिल की गई थीं।

LastPass ने Klue तक सभी कर्मचारियों की पहुँच बंद कर दी, उजागर हुए API और OAuth टोकन बदल दिए और Klue तथा Salesforce के संपर्क व्यक्तियों के साथ विस्तृत जाँच शुरू की। उसने कानून प्रवर्तन एजेंसियों को सूचित किया और कहा कि वह सहयोग कर रही है। टोकन बदलकर तत्काल सुधारात्मक कार्रवाई पूरी कर दी गई, जबकि तृतीय पक्ष से जुड़ी ऐसी घटनाओं से बचाव के लिए अतिरिक्त सुरक्षा उपायों और अधिक मज़बूत प्रोटोकॉल पर काम जारी रहा।

कंपनी की साइबर ख़तरों से जुड़ी खुफ़िया जानकारी पर काम करने वाली टीम ने कहा कि वह हमलों के इस अभियान को बाधित करने और बचाव करने वालों की मदद के लिए व्यापक सुरक्षा समुदाय के साथ रणनीतियाँ, तकनीकें और प्रक्रियाएँ साझा कर रही है। LastPass ने संकेतकों के रूप में चार IP पते और तीन प्रेषक डोमेन भी प्रकाशित किए। संकेतक समय के साथ बदल सकते हैं और अपने आप में यह साबित नहीं कर सकते कि हर संदेश दुर्भावनापूर्ण है या सुरक्षित।

नाम, फ़ोन नंबर, ईमेल पते, भौतिक पते और सहायता मामलों का संदर्भ LastPass सहायता टीम की ओर से होने का दावा करने वाले बेहद भरोसेमंद दिखने वाले संदेश तैयार करने में इस्तेमाल हो सकते हैं। कोई पक्ष किसी वास्तविक मामले या बिक्री संबंध का हवाला देकर मास्टर पासवर्ड, बहु-कारक प्रमाणीकरण का कोड या नकली पेज के ज़रिए लॉगिन करने को कह सकता है। LastPass ने ज़ोर देकर कहा कि कंपनी का कोई भी व्यक्ति मास्टर पासवर्ड नहीं माँगेगा और ग्राहकों को केवल आधिकारिक सहायता माध्यमों पर भरोसा करना चाहिए।

ग्राहक अचानक आए कॉल, ईमेल और संवेदनशील जानकारी के अनुरोधों की पुष्टि संदेश में दिए गए लिंक या नंबर के बजाय किसी परिचित LastPass सहायता माध्यम से कर सकते हैं। वॉल्ट के अप्रभावित रहने के निष्कर्ष का यह मतलब नहीं है कि वॉल्ट में संग्रहीत हर पासवर्ड बदलना अपने आप ज़रूरी हो जाता है। हालाँकि, यदि किसी संदिग्ध पेज पर जानकारी दर्ज की गई हो, तो आधिकारिक ऐप्लिकेशन के ज़रिए मास्टर पासवर्ड और प्रभावित खातों के क्रेडेंशियल बदलने चाहिए।

यह LastPass के मुख्य पासवर्ड प्रबंधक के बुनियादी ढाँचे में सीधे सेंध लगने की घटना नहीं है; इसमें Klue से चुराए गए एकीकरण टोकन का इस्तेमाल करके Salesforce में ग्राहक डेटा तक पहुँच बनाई गई। संगठन ने प्रभावित लोगों या रिकॉर्ड की ऐसी कुल संख्या प्रकाशित नहीं की जिसकी पुष्टि की जा सके। संख्या का खुलासा न होने का मतलब यह नहीं कि घटना का कोई प्रभाव नहीं पड़ा; इसका मतलब है कि सार्वजनिक स्रोत विश्वसनीय कुल संख्या उपलब्ध नहीं कराते।

पुष्ट निष्कर्ष यह है कि Klue के पास मौजूद OAuth टोकन हासिल किए गए, Salesforce में नामों, फ़ोन नंबरों, ईमेल पतों, भौतिक पतों, सहायता मामलों और बिक्री डेटा तक पहुँच बनाई गई, टोकन बदल दिए गए और Klue तक पहुँच बंद कर दी गई। LastPass के उत्पाद, बुनियादी ढाँचा और पासवर्ड वॉल्ट अप्रभावित रहे, और Gong तक पहुँच का कोई साक्ष्य नहीं मिला। पहुँच का सटीक समय, प्रभावित लोगों की संख्या, रिकॉर्ड की मात्रा और हर मामले की सामग्री का खुलासा अब भी नहीं किया गया है।