A LastPass admite que invasores têm uma cópia dos cofres de senhas dos clientes. O serviço bloqueador de senhas LastPass alertou os clientes de que o ataque de agosto de 2022 em seus sistemas comprovou a cópia arquivos criptografados que contêm as senhas de suas contas.
Em uma atualização de 22 de dezembro de seu conselho sobre o incidente, o LastPass atualiza os clientes explicando que o ataque de agosto de 2022 viu “alguns códigos-fonte e informações técnicas foram roubados de nosso ambiente de desenvolvimento e usados para atingir outro funcionário, obtendo credenciais e chaves que foram usados para acessar e descriptografar alguns volumes de armazenamento dentro do serviço de armazenamento baseado em nuvem.”
Essas credenciais permitiram que o invasor copiasse informações “que continham informações básicas da conta do cliente e metadados relacionados, incluindo nomes de empresas, nomes de usuários finais, endereços de cobrança, endereços de e-mail, números de telefone e endereços IP dos quais os clientes acessavam o serviço LastPass”.
LastPass admite que invasores têm uma cópia dos cofres de senhas dos clientes
A atualização revela que o invasor também copiou os dados do “cofre do cliente” – o arquivo que o LastPass usa para permitir que os clientes registrem suas senhas.
Esse arquivo “é armazenado em um formato binário proprietário que contém dados não criptografados, como URLs de sites, bem como campos confidenciais totalmente criptografados, como nomes de usuário e senhas de sites, notas seguras e dados preenchidos em formulários”.
O que significa que os invasores têm as senhas dos usuários. Mas, felizmente, essas senhas são criptografadas com “criptografia AES de 256 bits e só podem ser descriptografadas com uma chave de criptografia exclusiva derivada da senha mestra de cada usuário”.
O conselho do LastPass é que, embora os invasores tenham esse arquivo, os clientes que usam suas configurações padrão não têm nada para fazer como resultado dessa atualização, pois “levaria milhões de anos para adivinhar sua senha mestra usando a tecnologia de quebra de senha geralmente disponível. ”
Notícias Relacionadas
Uma dessas configurações padrão é não reutilizar a senha mestra necessária para fazer login no LastPass. A roupa sugere que você crie uma credencial complexa e use essa senha para apenas uma coisa: acessar o LastPass.
No entanto, sabemos que os usuários geralmente são negligentes na escolha de boas senhas, enquanto dois terços reutilizam as senhas, embora devessem saber mais.
Portanto, embora o LastPass esteja confiante de que os arquivos copiados de sua nuvem resistirão a tentativas de força bruta para quebrar a senha mestra, se essa credencial já estiver por aí… de senhas.
O cofre do cliente LastPass também pode armazenar muitas outras informações pessoais confidenciais.
O LastPass, portanto, ofereceu o seguinte conselho para usuários individuais e corporativos:
Se sua senha mestre não fizer uso dos padrões acima, isso reduzirá significativamente o número de tentativas necessárias para adivinhá-la corretamente. Nesse caso, como medida extra de segurança, você deve considerar minimizar os riscos alterando as senhas dos sites que você armazenou.
Divirta-se alterando todas essas senhas, caro leitor.
A atualização do LastPass termina com notícias de que desativou os sistemas violados em agosto de 2022 e construiu uma nova infraestrutura que adiciona proteções extras.
