El popular administrador de contraseñas confirmó que detectó un acceso no autorizado a sus sistemas pero que no hay evidencia de que el incidente haya involucrado el acceso a contraseñas de clientes.

• El CEO de LastPass ha asegurado a los clientes que su información personal y sus contraseñas no fueron expuestas de ninguna manera

El pasado 25 de agosto LassPass lanzó un comunicado a través del cual confirma que a comienzos de mes detectaron actividad inusual en sus sistemas. La compañía detalló que un tercero no autorizado tuvo acceso a una parte de su entorno de desarrollo a través del compromiso de la cuenta de un desarrollador de la compañía y que esto permitió el robo de una porción de su código fuente y de información técnica de su propiedad.

Por otra parte, LastPass aseguró que está investigando lo ocurrido y que pese a que no están en riesgo las contraseñas maestras del gestor ni a datos cifrados de los clientes, decidió tomar algunas medidas preventivas. Pese a eso, quienes usen este gestor de contraseñas no deberán realizar ninguna acción.

En cuanto a qué pueden hacer con el código fuente, los actores maliciosos pueden comercializar esta información y puede ser utilizada para descubrir vulnerabilidades en el sistema con mayor facilidad.

Vale recordar que LastPass es un popular administrador de contraseñas utilizado por más de 33 millones de personas para guardar en un solo lugar todas las credenciales de acceso a los diferentes servicios y cuentas online y también para crear contraseñas únicas y fuertes. Los gestores o administradores de contraseñas son una herramienta muy recomendada ya que ayudan a evitar algunas prácticas comunes y no recomendadas en cuanto al uso y administración de contraseñas, como es la creación de contraseñas débiles y fáciles de recordar o la reutilización de contraseñas para acceder a más de una cuenta.

Por último, mencionar que esta no es la primera vez que LastPass es víctima de un incidente de seguridad. En 2015 el gestor de contraseñas fue víctima de un ciberataque y el año pasado recibió cuestionamientos por el uso de rastreadores que recolectan información de los usuarios y sus dispositivos.

La parte buen es que dice que, tras realizarse una investigación, no han encontrado pruebas que indiquen que los atacantes han accedido a datos de usuarios o a contraseñas cifradas. En una parte dedicada a preguntas y respuestas, la compañía asegura que no almacenan la Contraseña Maestra, y que por tanto no se han visto afectadas en la brecha.

Insider Job

Por mucha seguridad que exista, hay numerosos incidentes como este de LastPass que tienen que ver con ingeniería social y descuidos. En este caso, desde LastPass mencionan que el acceso se produjo porque una única cuenta de desarrollador había sido comprometida, aunque no han mencionado si en el ataque para conseguirla detectaron phishing u otras técnicas.

Fuentes:
https://www.welivesecurity.com/la-es/2022/08/29/lastpass-confirma-incidente-seguridad-robo-codigo-fuente/

https://www.xataka.com/servicios/uno-mayores-gestores-contrasenas-mundo-ha-sido-hackeado