El gestor de contraseñas más popular del mundo fue hackeado

Un comunicado emitido por la empresa que administra el sitio LastPass dice que hace alrededor de dos semanas sus sistemas fueron atacados por ciberdelincuentes y que su código fuente, además de información técnica de la compañía, fueron robados. También indicó que no considera que las contraseñas de los usuarios se hayan visto comprometidas durante el fallo de seguridad, porque utilizan lo que se conoce como “prueba de conocimiento cero”, que impide a su sistema almacenar las credenciales de acceso, por lo que no sería necesario que sus clientes tomen medidas preventivas.

Cómo ocurrió y cómo se solucionó

Según la investigación que realizó LastPass, el ingreso de los ciberdelincuentes se produjo por medio de una cuenta de desarrollador que fue vulnerada y que sus productos y servicios “siguen funcionando con normalidad”. Luego del hecho se tomaron medidas de seguridad adicionales en sus sistemas y el incidente se encuentra en un estado de contención. También comunicaron que se ha “contratado a una empresa líder en ciberseguridad y análisis forense”.

Allan Liska, analista del equipo de respuesta a incidentes de seguridad informática de la empresa Recorded Future, afirmó que se sorprendió por el tiempo que le tomó a Last­Pass informar a sus clientes acerca del incidente. “Para algunos, dos semanas puede parecer mucho tiempo, los equipos de respuesta a incidentes pueden tardar en evaluar completa­mente la situación antes de informar sobre ella”, dijo la analista, que también agregó que el alcance del daño producido por el ciberataque tomará tiempo en determinarse, pero que parece no haber afectado a los usuarios.

¿Qué es un gestor de contraseñas?

Los gestores de contraseñas son administradores de claves seguras para diferentes cuentas o sitios web que requieren credenciales de acceso para ingresar a las cuentas o perfiles de los usuarios. De esta manera, las personas pueden estar más seguras durante su navegación en internet. Aunque los browsers ofrecen su propio servicio, las aplicaciones externas cuentan con opciones adicionales, como la creación aleatoria de contraseñas de forma automática o alertas de claves poco confiables.

Por ejemplo, durante un primer registro de usuario y clave de acceso en una página, el gestor guarda esa información para que en la siguiente oportunidad se autocompleten los datos. De esta forma el usuario no los tiene que escribir nuevamente.