Luego que se viese afectada por una violación de seguridad cibernética, la app de contraseñas LastPass, buscó llevar tranquilidad a sus usuarios. La empresa informó que el sistema de seguridad impidió que el hacker accediera a los datos de sus clientes y las contraseñas cifradas. Esta compañía es una de las administradoras de contraseñas que posee el mercado. La misma, cuenta como objetivo reducir la reutilización de contraseñas en línea y, para ello, las almacena en una sola aplicación. A esto se suma que, facilita a sus usuarios, la generación de claves de seguridad en caso de ser necesario.
Durante el pasado mes de agosto, la empresa determinó que parte de su código fuente procedía de un acceso no autorizado. El mismo se había dado en el servicio de almacenamiento de terceros, mediante el cual la empresa había venido utilizando. Tras la investigación, LastPass confirmó que el actor de las amenazas accedió al entorno de desarrollo de la compañía. El sistema impidió el acceso, según informó la firma, a los datos de clientes o las contraseñas cifradas.
LastPass y su seguimiento del tema
La empresa y su app dedicada a la seguridad confirmó que el atacante, tomó partes del código fuente. A esto se suma que el invasor también se hizo de cierta información técnica, la cual estaba patentada por la compañía. Sin embargo, la misma cree que el riesgo para la aplicación es muy limitado. LastPass dejó en claro que su entorno de producción estaba físicamente separado del entorno de desarrollo, sin conexión directa.
La firma no dejó pasar por alto el suceso y realizó un análisis de su código fuente y compilaciones de producción. La intención estaba en la verificación de que no hubo intentos de inyectar ningún tipo de código malicioso. La compañía informó en su momento que “los desarrolladores no tienen la capacidad de pasar el código fuente del entorno de desarrollo de la producción”.
La seguridad como clave de estos tiempos
LastPass, en el comunicado brindado en su momento, planteó:
“Esta capacidad está limitada a un equipo de lanzamiento de compilación separado que solo puede ocurrir después de completar los rigurosos procesos de revisión, prueba y validación del código”.
Karim Toubba, director ejecutivo de la empresa, informó a sus clientes sobre lo sucedido. Allí comunicó que se utilizó información recopilada del ataque anterior para acceder posteriormente a “ciertos elementos de la información de nuestros clientes”. La compañía no especificó la información que se obtuvo por parte del hacker. Sin embargo, sí afirmó que las contraseñas permanecían encriptadas de forma segura.
Adicionalmente, cabe resaltar que LastPass no tiene acceso a las contraseñas maestras de los clientes. Esto significa que únicamente el usuario tiene acceso para descifrar las contraseñas que se están almacenando. Toubba también dejó en claro que se viene trabajando para “comprender el alcance del incidente e identificar a qué información específica se ha accedido”. El director ejecutivo planteó que se trabajan en mayores medidas de seguridad y el monitoreo para detectar nuevas actividades de amenazas externas.
