El gestor de contraseñas inició una investigación para determinar el alcance de un nuevo hackeo. El director de la empresa dijo que los atacantes accedieron a «ciertos elementos» de la información de los usuarios, pero no las contraseñas. LastPass está detrás de uno de los software de gestión de contraseñas más populares y afirma que lo utilizan más de 33 millones de personas y 100.000 empresas.

LastPass confirmó una nueva brecha de seguridad en sus sistemas, en la cual  habrían accedido a información de algunos usuarios. Karim Toubba, director ejecutivo de LastPass, publicó una actualización en el blog de la empresa donde detalla un incidente de seguridad. De acuerdo con Toubba, la intrusión se habría realizado con información obtenida en un hackeo anterior.

"Recientemente detectamos una actividad inusual dentro de un servicio de almacenamiento en la nube de terceros, que actualmente comparten LastPass y su afiliado, GoTo", dijo el CEO. La empresa asegura que inició una investigación con la ayuda de una firma de seguridad y también alertó a las autoridades.

En la última actualización del blog, Karim Toubba dijo que los hackers accedieron a "ciertos elementos de la información de los usuarios." utilizando información extraída en agosto de 2022.

Estamos trabajando diligentemente para comprender el alcance del incidente e identificar a qué información específica se ha accedido. Mientras tanto, podemos confirmar que los productos y servicios de LastPass siguen siendo completamente funcionales.

Karim Toubba, CEO de LastPass

Para aquellos que no lo recuerdan, LastPass confirmó una brecha de seguridad el pasado 25 de agosto, donde hackers accedieron al entorno de desarrollo tras comprometer la cuenta de un empleado. Los atacantes robaron parte del código fuente del gestor de contraseñas, así como información técnica patentada. Tras descubrir el hecho, la compañía inició una investigación.

Semanas más tarde, LastPass confirmó que no hubo acceso a los datos de los usuarios y el ataque solo se limitó al entorno de desarrollo. Si bien la empresa se aseguró de sellar los agujeros de seguridad, el hecho de que los hackers se movieran durante cuatro días sin ser detectados dejó secuelas.

Lastpass dijo que contrató a la firma de seguridad Mandiant para investigar el incidente y notificó a la policía sobre el ataque. También señaló que "las contraseñas de los clientes no se han visto comprometidas y permanecen cifradas de forma segura gracias a la arquitectura Zero Knowledge de LastPass.

Las brechas de seguridad se están volviendo costumbre en LastPass