LastPass hackeado pela segunda vez este ano
LastPass, a última senha que pode expor todas as outras, desde a primeira.
Em seu próprio blog, o CEO Karim Toubba, informa que estão investigando um incidente de segurança depois que uma “parte não autorizada” comprometeu seus sistemas na última quarta-feira, dia 30, e obteve acesso a algumas informações de clientes.
As informações foram armazenadas em um serviço de nuvem de terceiros compartilhado pela LastPass e pela empresa-mãe GoTo, disse o CEO da LastPass, Karim Toubba, em uma postagem no blog.
Toubba disse que os hackers usaram informações roubadas dos sistemas do LastPass em um incidente separado divulgado anteriormente que ocorreu em agosto deste ano. Toubba acrescentou na postagem do blog que “as senhas dos clientes permanecem criptografadas com segurança”.
Recentemente, detectamos atividades incomuns dentro de um serviço de armazenamento em nuvem de terceiros, que atualmente é compartilhado tanto pelo LastPass quanto por sua afiliada, GoTo.
Imediatamente lançamos uma investigação, contratamos Mandiant, uma empresa de segurança líder, e alertamos a aplicação da lei.
Determinamos que uma parte não autorizada, usando informações obtidas no incidente de agosto de 2022, conseguiu obter acesso a certos elementos das informações de nossos clientes. As senhas de nossos clientes permanecem criptografadas com segurança devido à arquitetura Zero Knowledge do LastPass.
De acordo com uma postagem no blog datada de 22 de agosto, o incidente anterior viu um ator de ameaça obter acesso ao ambiente de Desenvolvimento LastPass usando o ponto final comprometido de um desenvolvedor para roubar o código-fonte e algumas informações técnicas proprietárias do LastPass.
A LastPass disse na época que seus sistemas “impediam que o ator de ameaças acessasse quaisquer dados de clientes ou cofres de senhas criptografadas”.
O LastPass está atualmente trabalhando para entender o escopo do incidente de quarta-feira e identificar quais informações específicas foram acessadas.
O GoTo, anteriormente LogMeIn, disse que também estava investigando o incidente, embora não tenha explicado se os usuários do GoTo também foram afetados pelo hack.
Enquanto isso, os produtos e serviços da LastPass permanecem “totalmente funcionais”, disse Toubba.
Recomendação
- Migre para outro serviço (1Password, Minimalist, Enpass, Bitwarden)
- Altere suas senhas (sim, todas)
- Exclua sua conta no LastPass (isso pode garantir que nem abandonando a conta um hacker teria acesso aos seus dados que serão inexistentes)
Gustavo Saez