Sembla que els gestors de contrasenyes dels clients no s’han vist afectats en aquest incident, que es va produir mitjançant un proveïdor extern.

La bretxa de seguretat ocorreguda a la plataforma d’intel·ligència competitiva Klue ocorreguda fa uns dies continua amb conseqüències importants, i mostra una vegada més la importància que estan adquirint els atacs a la cadena de subministrament.

El servei per a la gestió de contrasenyes LastPass ha reconegut que, fruit d’aquest incident, els pirates informàtics van aconseguir els noms, números de telèfon, adreces de correu electrònic i adreces físiques dels usuaris, com també dades de casos d’atenció al client i dades relacionades amb les vendes.

Això no obstant, la companyia ha confirmat que la seva infraestructura no es va veure afectada, és a dir, els gestors de contrasenyes dels seus clients haurien estat fora de perill. 

El lloc web de LastPass indica que disposaven de més de 33 milions d’usuaris i prop d’1,6 milions de clients de pagament en data del 2024. 

Al costat de LastPass altres empreses s’han vist esquitxades per la bretxa de seguretat de Klue, com ara HackerOne, Recorded Future i Tanium. 

No és la primera, però sí la darrera

Malauradament, no és la primera vegada que LastPass experimenta un incident de seguretat. El 2022 ja va patir una altra filtració de dades. Aleshores, uns atacants van robar tot el repositori de contrasenyes dels clients de l’empresa, que s’utilitza per emmagatzemar les seves credencials confidencials, com ara claus, tokens i altres números de targetes de crèdit i dades personals.

Tot i que els gestors de contrasenyes estaven xifrats i només es podien desbloquejar amb la contrasenya mestra de l’usuari, els atacants van aconseguir desxifrar-les en alguns casos mitjançant atacs de força bruta, especialment quan eren febles. Això els va permetre accedir al contingut emmagatzemat, com ara  credencials i altres dades delicades. 

Posteriorment, se sospita que aquesta informació sostreta es va utilitzar en diferents robatoris de criptomonedes, ja que els hackers haurien pogut obtenir les claus de carteres digitals en haver compromès prèviament els gestors de contrasenyes de les víctimes. Aquests es van succeir fins i tot tres anys després del forat de seguretat.