LastPass sufre filtración de datos, código fuente robado

Los ciberatacantes han comprometido los sistemas internos de LastPass y se han llevado el código fuente y la propiedad intelectual.

La empresa de gestión de contraseñas dijo que detectó actividad anómala en su entorno de desarrollo hace dos semanas. Después de profundizar en los datos forenses, los investigadores determinaron que alguien (o alguien) comprometió una cuenta de desarrollador para obtener acceso a la red, tomando "partes del código fuente y alguna información técnica patentada de LastPass", según un anuncio publicado esta semana.

Fundamentalmente, los adversarios no pudieron acceder a los datos de los clientes ni a las bóvedas de contraseñas cifradas.

"Utilizamos una arquitectura de 'conocimiento cero' estándar de la industria que garantiza que LastPass nunca pueda saber u obtener acceso a la contraseña maestra de nuestros clientes [y] garantiza que solo el cliente tenga acceso para descifrar los datos de la bóveda", según Ultimo pase.

Dicho esto, Ajay Arora, cofundador y presidente de BluBracket, señaló que los atacantes buscarán con detenimiento las debilidades potenciales para explotar en el código fuente de LastPass, lo que podría conducir a ataques posteriores.

“Una consecuencia adicional que puede ocurrir a partir del código fuente robado o filtrado es que este código puede revelar secretos sobre la arquitectura de una aplicación”, dijo a través de un comunicado enviado por correo electrónico. “Esto puede revelar información sobre dónde se almacenan ciertos datos y qué otros recursos puede usar una organización. Estos factores podrían equipar a los malos actores para infligir daño adicional a una organización después del hecho”.

Tom Kellermann, vicepresidente senior de estrategia cibernética de Contrast Security, también dijo en un comunicado que los atacantes podrían haber estado investigando para ver si podían encontrar una vía hacia las redes de socios o proveedores de LastPass.

“Las empresas de ciberseguridad están siendo atacadas para facilitar visitas a islas," él dijo. "Después de la Violación de FireEye, la industria debería haber despertado. En 2022, las empresas de ciberseguridad deben practicar lo que predican. Muchos aún no invierten lo suficiente en su propia seguridad cibernética. Espere ser golpeado y prepárese para responder”.