Una nueva y cuidadosamente elaborada campaña de phishing está actualmente dirigiéndose a los usuarios de LastPass, con atacantes enviando correos electrónicos falsos de soporte diseñados para robar las contraseñas maestras de las bóvedas. La campaña, que comenzó alrededor del 1 de marzo de 2026, utiliza tácticas de ingeniería social para engañar a los usuarios haciéndoles creer que sus cuentas han sido comprometidas, presionándolos para que revelen sus credenciales.

El 23 de septiembre del año pasado saltaba la liebre: LastPass, una de las firmas de gestión de contraseñas más conocidas, había sido objeto de un importante robo de datos con elevado riesgo de seguridad para sus usuarios. Aunque la información oficial no decía nada de eso. La compañía remoloneó a la hora de publicar un comunicado, pese a tener constancia del suceso en agosto, y cuando lo hizo fue de la forma más obtusa imaginable, pero con el tiempo la magnitud del asunto se hizo innegable. Ahora sabemos que dicha brecha habría sido explotada para robar millones en criptoactivos.

La popular firma de gestión de contraseñas LastPass ha anunciado que atacantes no identificados han logrado hacerse con "una copia de seguridad de datos de las cajas fuertes de usuarios". Esto, en la práctica, implica que quien quiera que sean estas personas, ahora tienen en su poder las claves de un número indeterminado de personas. Afortunadamente, la copia de seguridad estaba cifrada, lo que debería proteger los datos o como mínimo dar tiempo para tomar medidas de protección.

 El gestor de contraseñas inició una investigación para determinar el alcance de un nuevo hackeo. El director de la empresa dijo que los atacantes accedieron a «ciertos elementos» de la información de los usuarios, pero no las contraseñas. LastPass está detrás de uno de los software de gestión de contraseñas más populares y afirma que lo utilizan más de 33 millones de personas y 100.000 empresas.

 El popular administrador de contraseñas confirmó que detectó un acceso no autorizado a sus sistemas pero que no hay evidencia de que el incidente haya involucrado el acceso a contraseñas de clientes.