Lastpass sofre segunda invasão e dados de usuários são expostos
Em agosto, gerenciador de senhas teve vazamento do código fonte; empresa diz que hackers utilizaram dados da primeira invasão em novo ataque
O gerenciador de senhas LastPass sofreu um novo ataque hacker nesta semana. O LastPass divulgou o ocorrido na última quarta-feira, em uma publicação em seu site oficial. Em agosto, a empresa foi vítima de outro ataque em que parte de seu código-fonte foi roubado.
Agora, a empresa revelou que as informações do vazamento de agosto foram usadas para o roubo de dados de usuários. A LastPass garante que as senhas continuam seguras devido à criptografia da sua arquitetura Zero Knowledge.
LastPass sofre invasão em sua nuvem de armazenamento
No comunicado à imprensa, a LastPass explicou que detectou uma “atividade atípica” no serviço de armazenamento em nuvem — contratado de outra empresa. A empresa não divulgou a data do ocorrido.
Após detectar o problema, a LastPass iniciou uma investigação, alertou autoridades e contratou a Mandiant, empresa de cibersegurança. O resultado é que a invasão aconteceu por hackers que utilizaram os dados do vazamento de agosto.
A LastPass não cita quais informações pessoais dos clientes os cibercriminosos tiveram acesso — e nem se todos ou apenas uma parcela dos clientes foram afetados. Porém, no comunicado escrito pelo CEO Karim Toubba, a LastPass informa que está trabalhando para entender quais as informações foram acessadas e o alcance do ataque.
Conforme divulgado pelo TechCrunch, o serviço de nuvem usado pela LastPass é a AWS. Em 2020, a subsidiária da Amazon divulgou em seu site que a GoTo, proprietária da LastPass, contratou os serviços da AWS. A LastPass é usada por mais de 33 milhões de pessoas e mais de 100.000 empresas.
Vazamento em agosto comprometeu código-fonte
Em agosto, também em comunicado escrito por Karim Toubba, a LastPass revelou que seu ambiente de desenvolvimento foi invadido. O responsável (ou responsáveis) pela invasão roubou partes do código-fonte e de informações técnicas de propriedade do LastPass.
Na época do ocorrido, a empresa relatou que os dados pessoais dos clientes não foram acessados. A LastPass também divulgou que realizou todas as medidas de contenção e mitigação do ataque.
Com informações: BleepingComputer e TechCrunch
