HackerOne

Третье уведомление LastPass об утечке пришло не с её серверов. Взломали Klue — платформу «рыночной аналитики» для отделов продаж, подключённую к CRM. Наружу вышли имена, телефоны, почты и адреса клиентов LastPass. Зашифрованные хранилища паролей остались нетронутыми.

На HN травля началась мгновенно. Но самый острый комментарий развернул историю: инженер по безопасности заметил, что в каждом отделе продаж к системе подключён десяток таких инструментов, и удивляться стоит лишь тому, что утечки случаются не чаще.

Форма HackerOne и почта для безопасности закрываются с 1 июля по 3 августа, выход версии 8.22.0 сдвигается на две недели — на 2 сентября. Объяснение Дэниела Стенберга простое: команда выгорела и нуждается в отдыхе.

Тред наполовину аплодирует, наполовину беспокоится об одной лазейке: клиенты платной поддержки смогут надавить на выпуск фикса, если кто-то раскроет уязвимость публично во время заморозки — а у curl нет второго человека на дежурстве.