- LastPass informou que hackers copiaram um backup de dados do vault dos clientes armazenado na nuvem, o que teoricamente pode permitir acesso às senhas se os cofres forem quebrados.
- A empresa afirma que as senhas mestras são necessárias para abrir os dados criptografados, e que a LastPass não tem acesso às senhas mestras.
- Recomenda-se mudar senhas de sites armazenados caso a senha mestra seja fraca ou tenha sido reutilizada; manter as configurações padrão de segurança também é sugerido.
- A atualização ocorre após uma violação em agosto e uma intrusão detectada em novembro; agora, diz-se que o backup utilizado foi copiado a partir de um armazenamento em nuvem acessado por um funcionário de terceiros.
- Os dados potencialmente expostos incluem nomes de empresas, nomes de usuário, endereços de cobrança, e-mails e endereços IP; não houve confirmação de cartões de crédito não criptografados.
LastPass informou que cibercriminosos copiaram um backup dos dados de cofres de clientes, incluindo senhas, a partir de armazenamento em nuvem. A confirmação veio em uma atualização publicada recentemente, após a empresa ter dito anteriormente que houve acesso a “elementos de informações de clientes”.
Segundo o CEO Karim Toubba, o atacante conseguiu copiar um backup do vault dos clientes que estava em um armazenamento criptografado, em formato binário proprietário. O conteúdo inclui URLs, além de campos altamente sensíveis já criptografados, como nomes de usuário, senhas, notas seguras e dados de preenchimento de formulários.
A empresa relata que as senhas armazenadas ainda seriam protegidas pela senha mestra do usuário, e que a LastPass não teve acesso às senhas mestras. Ainda assim, a fabricante recomenda que usuários com senhas mestras fracas ou reutilizadas considerem alterar senhas de sites armazenados.
O incidente se desenrolou após uma intrusão detectada em novembro, que usou informações de um ataque ocorrido em agosto. A empresa afirma que não houve acesso a dados de cartão de crédito não criptografados, mas reconhece que informações básicas de conta e metadados ficaram comprometidos.
De acordo com a LastPass, o resgate envolve a cópia de vaults de clientes e backups que também continham metadados como nomes de empresas, nomes de usuários, endereços de cobrança, e endereços de IP de acesso. O caso evidencia riscos em armazenamentos em nuvem e a necessidade de práticas robustas de senhas mestras.
Entre na conversa da comunidade