El famoso gestor de contraseñas LastPass sufre un cibertaque. El 25 de agosto se publicó una noticia en su blog oficial dando más detalles del ciberataque que sufrieron el mes pasado, después de haber reconocido el ciberataque. La empresa ha comunicado que han completado la investigación y análisis forense del ciberincidente, y que la actividad de los actores se limitó a cuatro días del mes de agosto. Las conclusiones de la investigación indican que los ciberatacantes sólo tuvieron acceso al código de desarrollo utilizando un endpoint comprometido de un desarrollador del equipo. Una vez comprometido, el actor de la amenaza utilizó su acceso persistente para suplantar al desarrollador una vez se autenticó mediante la autenticación multi factor. Dado que no se tuvo acceso al entorno de producción, y que como explican en los detalles del ciberincidente, no hay ningún tipo de datos de clientes en el entorno de desarrollo.
Para evitar futuros ciberincidentes, han analizado el código fuente y confirman que no se han encontrado evidencias de intentos de inyecciones maliciosas de código. Además, los desarrolladores no tienen la habilidad de realizar “pushes” desde el entorno de desarrollo al entorno de producción, dado que para que una versión llegue a producción, previamente es necesario un proceso de revisión, pruebas y validación.
Este escenario ha sido un claro ejemplo de la necesidad de aislar los entornos de producción y de desarrollo para evitar incidentes de ciberseguridad mayores. Por suerte, LastPass explica en su noticia que el entorno de desarrollo está completamente separado del entorno de producción, por lo que las contraseñas de las bóvedas de los usuarios no han sido comprometidas. Sin embargo, desde www.cibertrs.com os recomendamos actuar de forma proactiva y realizar un cambio de contraseñas.
Actualización 25/01/23: La empresa GoTo, matriz de LastPass, confirma que en el ciberataque se robaron las copias de seguridad cifradas de los clientes.
Paddy Srinivasan, El CEO de GoTo, ha indicado que en la filtración de LastPass se incluyen nombres de usuario de cuentas; contraseñas con ‘salt’ y ‘hash’.
