LastPass ha emitido un extenso comunicado sobre la infracción que sufrió hace algunos meses. En pocas palabras, las cosas no están bien.
Hace unas semanas, LastPass emitió un comunicado en su blog, compartiendo que había experimentó una infracción. En ese momento, Karim Toubba, director ejecutivo de LastPass, no entró en todos los detalles, solo compartió que ocurrió un incidente de seguridad con un servicio de almacenamiento en la nube de terceros que utiliza LastPass. Ahora, la empresa está dando un desglose detallado de lo sucedido, y no es bueno.
Toubba una vez más recurrió al blog de la compañía para compartir lo que encontró con respecto al incidente. Según la publicación, en este ataque los datos de los clientes no se vieron afectados, pero sí se robaron "el código fuente y la información técnica". Desafortunadamente, con esta información, el atacante apuntó a un empleado, obtuvo credenciales y claves que se utilizaron para descifrar y acceder a información en el servicio de almacenamiento basado en la nube.
Desde aquí, el atacante pudo acceder a información de la cuenta como "nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y las direcciones IP desde donde Los clientes estaban accediendo al servicio LastPass". Además, se obtuvieron datos de la bóveda del cliente, que contenían "nombres de usuario y contraseñas de sitios web, notas seguras y datos rellenados en el formulario."
Entonces quizás te preguntes, ¿qué significa todo esto exactamente?
Bueno, hay buenas y malas noticias. En cuanto a las buenas noticias, los datos recopilados se cifraron y requieren la contraseña maestra del usuario para descifrarlos. La mala noticia es que si el atacante tiene tiempo, puede probar tantas contraseñas como sea necesario para descifrar los datos. LastPass reconoce que esto es una posibilidad, pero afirma que sería "extremadamente difícil", siempre y cuando la contraseña en sí sea una complicado.
LastPass también advierte que los ataques de phishing podrían comenzar a volverse más comunes, en un intento de tomar a los clientes con la guardia baja y extraer contraseñas maestras. En cuanto a lo que se puede hacer ahora, en realidad se trata simplemente de mantenerse alerta y no ser víctima de intentos de phishing. Si te parece fuera de lo común o sospechoso, investígalo. LastPass requiere contraseñas de 12 caracteres como mínimo desde hace bastante tiempo. Pero este tipo de violaciones pueden ocurrir y cuando suceden, realmente pone las cosas en perspectiva.
Sin embargo, la compañía intenta dar cierta seguridad, afirmando que se necesitarían millones de años para intentar adivinar una contraseña compleja. Por supuesto, esto realmente no debería tranquilizarlo, ya que hay alguien por ahí con sus datos cifrados. LastPass ha realizado cambios en su infraestructura para evitar infracciones en el futuro y se ha puesto en contacto con clientes comerciales de alto riesgo para darles instrucciones.
Fuente: Ultimo pase