La saga del hackeo de LastPass sigue empeorando

Incidente de seguridad de LastPass

AppleInsider puede recibir una comisión de afiliado por compras realizadas a través de enlaces en nuestro sitio. Después de meses de la divulgación de una violación de datos, LastPass informó que el mismo atacante pirateó la computadora de un empleado y robó una bóveda de contraseñas descifradas. La compañía informó un incidente de seguridad en agosto de 2022, diciendo que una parte no autorizada obtuvo acceso a un servicio de almacenamiento en la nube de terceros que LastPass usa para almacenar copias de seguridad archivadas. Se accedió a algunos datos de clientes, pero según LastPass, su arquitectura cifrada mantuvo seguras las contraseñas. Bueno, en un informe del martes, la compañía dijo que el mismo atacante pirateó la computadora de la casa de un empleado y robó una bóveda descifrada disponible solo para un puñado de desarrolladores de la compañía. La bóveda proporcionó acceso a un entorno de almacenamiento en la nube compartido que contenía claves de cifrado para las copias de seguridad de la bóveda del cliente almacenadas en cubos de Amazon S3. «Esto se logró atacando la computadora de la casa del ingeniero de DevOps y explotando un paquete de software de medios de terceros vulnerable que permitía la ejecución remota de código y permitía al atacante implantar malware registrador de teclas», escribió LastPass. «El atacante pudo capturar la contraseña maestra del empleado tal como se ingresó, después de que el empleado se autenticara mediante MFA y obtuviera acceso a la bóveda corporativa de LastPass del ingeniero de DevOps». el primer evento difieren de los del segundo incidente. Como resultado, inicialmente no estaba claro para los investigadores que los dos estuvieran vinculados. El pirata informático aprovechó los datos del primer evento para filtrar los datos que se mantuvieron en los cubos S3 durante el segundo incidente. Amazon había notado un «comportamiento anómalo» cuando el atacante intentó usar los roles de Cloud Identity and Access Management (IAM) para realizar la actividad no autorizada y notificó a LastPass. En diciembre, el CEO de LastPass, Karim Toubba, dijo que el pirata informático copió datos de las copias de seguridad que contenían información de la cuenta del cliente y metadatos asociados, como nombres de empresas, nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y direcciones IP. El pirata informático también hizo una copia de los datos de la bóveda del cliente, aunque LastPass dijo que estaba «almacenada en un formato binario patentado». La compañía afirma que es muy poco probable que los piratas informáticos puedan descifrar los datos, pero advirtió a los usuarios que podrían ser objeto de ataques de phishing o ingeniería social. Como precaución, los usuarios deben actualizar su contraseña maestra, que utilizan para iniciar sesión en su bóveda, así como su sitio web y otras contraseñas de inicio de sesión, aunque LastPass afirmó que las credenciales de los clientes están cifradas y son seguras. Además, los usuarios pueden cambiar a un administrador de contraseñas diferente, p. B. Llavero iCloud, Bitwarden o 1Password.

Seguridad de LastPass

LastPass afirmó que tomaría millones de años descifrar la contraseña maestra de un usuario, pero un competidor cree que puede tomar una fracción de ese tiempo y puede completarse por solo $100. En una publicación de blog, Jeffrey Goldberg, arquitecto principal de seguridad de 1Password, escribió que LastPass no está haciendo lo suficiente para proteger los datos de los clientes. «Si considera todas las contraseñas posibles de 12 dígitos, hay alrededor de 2^72 posibilidades. Tomaría muchos millones de años probarlos todos. De hecho, llevaría mucho más tiempo”, escribe. «Pero las personas que descifran contraseñas creadas por humanos no lo hacen de esa manera. Configuran sus sistemas para probar primero las contraseñas más probables”. LastPass ha sido criticado por sus dudosas prácticas de seguridad. En diciembre de 2021, los miembros de LastPass informaron múltiples intentos de inicio de sesión con contraseñas maestras correctas desde diferentes ubicaciones. La compañía aseguró a los clientes que los ataques fueron el resultado de la filtración de contraseñas en violaciones de seguridad de terceros. Y en febrero de 2021, un investigador de seguridad encontró siete rastreadores en la aplicación LastPass para Android para análisis de aplicaciones.