LastPass dice que los piratas informáticos robaron las bóvedas de contraseñas de los clientes

El gigante del administrador de contraseñas LastPass ha confirmado que los ciberdelincuentes robaron las bóvedas de contraseñas encriptadas de sus clientes, que almacenan contraseñas y otros secretos de sus clientes, durante una violación de datos a principios de este año.

En una publicación de blog actualizada sobre su divulgación, el CEO de LastPass, Karim Toubba, dijo que los intrusos tomaron una copia de una copia de seguridad de los datos de la bóveda del cliente utilizando claves de almacenamiento en la nube robadas a un empleado de LastPass. El caché de las bóvedas de contraseñas de los clientes se almacena en un "formato binario patentado" que contiene datos de la bóveda cifrados y sin cifrar, pero se desconocen los detalles técnicos y de seguridad de este formato propietario. Los datos sin cifrar incluyen direcciones web almacenadas en la bóveda, pero LastPass no dice más sobre eso o en qué contexto. La fecha de las copias de seguridad robadas no está clara.

LastPass declaró que las bóvedas de contraseñas de los clientes están encriptadas y solo se pueden desbloquear con la contraseña maestra de los clientes, que solo el cliente conoce. Pero la compañía advirtió que los ciberdelincuentes detrás de la intrusión "pueden intentar usar la fuerza bruta para adivinar su contraseña maestra y descifrar las copias de los datos de la bóveda que han tomado".

Toubba dijo que los ciberdelincuentes también recuperaron grandes cantidades de datos de clientes, incluidos nombres, direcciones de correo electrónico, números de teléfono y cierta información de facturación.

Los administradores de contraseñas son extremadamente útiles para almacenar sus contraseñas, todas las cuales deben ser largas, complejas y únicas para cada sitio o servicio. Pero incidentes de seguridad como este nos recuerdan que no todos los administradores de contraseñas son iguales y pueden ser atacados o comprometidos de diferentes maneras. Dado que el modelo de amenazas de cada persona es diferente, nadie tendrá los mismos requisitos que los demás.

En una situación rara (no un error tipográfico) como esta, que explicamos en nuestro análisis de la notificación de violación de datos de LastPass, si un malhechor obtiene acceso a las bóvedas de contraseñas de clientes cifrados, "todo lo que necesitaría es el contraseña maestra de la víctima". Una bóveda de contraseñas expuesta o comprometida es tan sólida como el cifrado (y la contraseña) utilizados para cifrarla.

Lo mejor que puede hacer como cliente de LastPass es reemplazar su contraseña maestra actual de LastPass con una nueva contraseña única (o frase de contraseña) que se anota y almacena en un lugar seguro. Esto significa que su bóveda de LastPass actual es segura.

Si cree que su bóveda de contraseñas de LastPass podría estar comprometida, por ejemplo, si su contraseña maestra es débil o la ha usado en otro lugar, debe comenzar a cambiar las contraseñas almacenadas en su bóveda de LastPass. Comience con las cuentas más críticas, como sus cuentas de correo electrónico, su cuenta del plan de telefonía celular, cuentas bancarias y cuentas de redes sociales, y avance en la lista de prioridades.

La buena noticia es que cualquier cuenta protegida por autenticación de dos factores hará mucho más difícil que un atacante obtenga acceso a sus cuentas sin ese segundo factor, como una ventana emergente en el teléfono o un código enviado por mensaje de texto o correo electrónico. .correo Por eso es importante proteger esas cuentas secundarias primero, como sus cuentas de correo electrónico y planes de telefonía celular.