LastPass sofre violação de dados, código-fonte roubado

Os ciberataques comprometeram os sistemas internos do LastPass, fugindo do código-fonte e da propriedade intelectual.

A empresa de gerenciamento de senhas disse que detectou atividade anômala em seu ambiente de desenvolvimento há duas semanas. Depois de investigar os dados forenses, os investigadores determinaram que alguém (ou alguém) comprometeu uma conta de desenvolvedor para obter acesso à rede, pegando “partes do código-fonte e algumas informações técnicas proprietárias do LastPass”, de acordo com um anúncio publicado esta semana.

Fundamentalmente, os adversários não conseguiram acessar dados de clientes ou cofres de senhas criptografadas.

“Utilizamos uma arquitetura de 'conhecimento zero' padrão do setor que garante que o LastPass nunca possa saber ou obter acesso à senha mestra de nossos clientes [e] garante que apenas o cliente tenha acesso para descriptografar os dados do cofre”, de acordo com LastPass.

Dito isso, Ajay Arora, cofundador e presidente da BluBracket, observou que os invasores procurarão com afinco possíveis fraquezas a serem exploradas no código-fonte do LastPass, potencialmente levando a ataques subsequentes.

“Uma consequência adicional que pode ocorrer com o código-fonte roubado ou vazado é que esse código pode revelar segredos sobre a arquitetura de um aplicativo”, disse ele por meio de um comunicado enviado por e-mail. “Isso pode revelar informações sobre onde certos dados são armazenados e quais outros recursos uma organização pode usar. Esses fatores podem equipar os maus atores para infligir danos adicionais a uma organização após o fato.”

Tom Kellermann, vice-presidente sênior de estratégia cibernética da Contrast Security, também disse em comunicado que os invasores poderiam estar investigando para ver se conseguiam encontrar um caminho para as redes de parceiros ou fornecedores do LastPass.

“As empresas de segurança cibernética estão sendo direcionadas para facilitar ilha saltitante," ele disse. "Depois de Violação do FireEye, a indústria deveria ter acordado. Em 2022, as empresas de segurança cibernética devem praticar o que pregam. Muitos ainda investem pouco em sua própria segurança cibernética. Espere ser atingido e prepare-se para responder.”