Actualización de vulnerabilidad de LastPass: se ha accedido a las bóvedas de contraseñas de los clientes

LastPass vuelve hoy con su último comunicado sobre los daños causados por su brecha de seguridad. Si bien el alcance del ataque no estaba claro a principios de diciembre, la compañía ahora ha dicho que obtuvo copias de las bóvedas de contraseñas de los clientes junto con sus nombres, direcciones de correo electrónico, direcciones de facturación, números de teléfono y más. Esto es lo que debe saber. El CEO de LastPass, Karim Toubba, escribió la actualización hoy en el blog de la compañía (descubierto por TechCrunch). Después de que se le dijera el 30 de noviembre que sus sistemas se vieron comprometidos en algún momento después de un incidente en agosto de 2022, ahora se ha revelado una imagen más completa del daño. Primero, LastPass dice que el pirata informático tuvo acceso a la información del cliente, como nombres, direcciones, direcciones de correo electrónico, números de teléfono y más. «Hasta ahora, hemos descubierto que después de obtener la clave de acceso al almacenamiento en la nube y las claves de descifrado del contenedor de almacenamiento dual, el atacante copió información de la copia de seguridad que contenía información básica de la cuenta del cliente y metadatos asociados, como nombres de empresas, nombres de usuarios finales, direcciones de facturación, correo electrónico. direcciones IP, números de teléfono y las direcciones IP desde las que los clientes accedieron al servicio de LastPass». Lo que es aún más preocupante, las bóvedas de contraseñas de los clientes también se copiaron durante el incidente: «El atacante también pudo hacer una copia de seguridad de los datos de la bóveda del cliente desde el contenedor de almacenamiento almacenado en un formato binario patentado que contiene datos no cifrados, como URL de sitios web, así como campos confidenciales totalmente cifrados, como nombres de usuario y contraseñas de sitios web, notas seguras y datos de formularios. Estos campos cifrados permanecen protegidos con cifrado AES de 256 bits y solo se pueden descifrar con una clave de cifrado única derivada de la contraseña maestra de cada usuario utilizando nuestra arquitectura de conocimiento cero. Como recordatorio, LastPass nunca conoce la contraseña maestra y LastPass no la almacena ni la mantiene. El cifrado y descifrado de datos solo se realiza en el cliente local de LastPass. Obtenga más información sobre nuestra arquitectura de conocimiento cero y nuestros algoritmos de cifrado aquí”. Si bien las bóvedas de contraseñas de los usuarios aún están protegidas por sus contraseñas maestras, el pirata informático puede intentar ataques de fuerza bruta, phishing o ingeniería social. Así que tenga cuidado si era cliente de LastPass. LastPass dice que su investigación está en curso y «se compromete a actualizarlo sobre nuestros hallazgos y actualizarlo sobre las acciones que estamos tomando y cualquier acción que deba tomar». Consulte la actualización de seguridad completa de LastPass, incluidos los consejos sobre lo que deben hacer los clientes. FTC: Utilizamos enlaces de afiliados automáticos que generan ingresos. Más.
Visite 9to5Mac en YouTube para obtener más noticias de Apple: