El mes pasado, el popular servicio de gestión de contraseñas LastPass sufrió su segunda filtración de datos, y la empresa descubrió una actividad inusual en su servicio de almacenamiento en la nube de terceros. Sin embargo, esta intrusión fue mucho más dañina de lo que se informó inicialmente. Los piratas informáticos pudieron robar las bóvedas de contraseñas de los usuarios en algunos casos, dándoles acceso a la colección completa de datos personales encriptados de las personas. Si bien es posible que los piratas informáticos aún no tengan los recursos para desbloquearlo, la amenaza sigue siendo significativa.
Los piratas informáticos tenían acceso a la información y los metadatos de la cuenta del cliente.
En una publicación de blog, el CEO de LastPass, Karim Toubba, reveló que una vez que los piratas informáticos obtuvieron la clave de acceso al almacenamiento en la nube y las claves de descifrado para el contenedor de almacenamiento duplicado, pudieron copiar información de una copia de seguridad que contenía información básica de la cuenta del cliente y metadatos relacionados. Estos metadatos incluyen nombres de empresas, nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y las direcciones IP que los clientes usaron para acceder al servicio de LastPass.
Sin embargo, hay buenas noticias. Toubba explicó que «estos campos cifrados permanecen protegidos con cifrado AES de 256 bits y solo se pueden descifrar con una clave de cifrado única derivada de la contraseña maestra de cada usuario utilizando nuestra arquitectura Zero Knowledge». Recordó a los usuarios que LastPass nunca sabe y no almacena ni rastrea la contraseña maestra.
Esta noticia destaca las posibles vulnerabilidades del uso de aplicaciones de administrador de contraseñas. Si bien estas aplicaciones pueden ser una forma conveniente y segura de almacenar y administrar contraseñas, no son inmunes a los intentos de piratería. Los usuarios deben permanecer atentos y tomar medidas para proteger sus datos, como usar contraseñas seguras y únicas para cada cuenta y habilitar la autenticación de dos factores.
LastPass ha asegurado a los usuarios que ha tomado medidas para proteger sus sistemas tras la filtración de datos y que seguirá dando prioridad a la seguridad de los datos de sus clientes. Sin embargo, siempre es una buena idea revisar y actualizar periódicamente sus contraseñas y medidas de seguridad para garantizar que sus datos estén protegidos de la mejor manera posible.
