Los atacantes de LastPass consiguieron robar los backups de los usuarios

La compañía matriz de LastPass, GoTo, ha confirmado que los hackers que atacaron el servicio consiguieron hacerse con los backups cifrados de los usuarios durante la última brecha de seguridad de sus sistemas. Esta brecha fue confirmada por la propia compañía el pasado 30 de noviembre. Entonces, el CEO de LastPass, Karim Touba, solo señaló que terceros sin autorización habían conseguido acceder a parte de la información de algunos clientes en un servicio cloud compartido por LastPass y GoTo.

Los atacantes utilizaron para acceder a los sistemas información que habían conseguido en una brecha anterior de los sistemas de LastPass, en agosto del año pasado. Entonces, los hackers consiguieron acceder a los datos cloud compartidos de las empresas. GoTo se limitó entonces a señalar que estaba investigando el incidente.

Finalizado el periodo de investigación, la compañía ha reconocido que el ataque afectó a varios de sus productos. Entre ellos están la herramienta de comunicaciones para empresas Central, el servicio de reuniones online Join.me, el servicio de VPN hospedado Hamachi y la herramienta de acceso remoto Remotely Anywhere.

Todo apunta a que los atacantes consiguieron extraer las copias de seguridad cifradas de estos servicios, así como la clave de cifrado de la empresa, que asegura los datos. El CEO de GoTo, Paddy Srinivasan, ha comentado que «la información afectada, que varía en función del producto, puede incluir nombres de cuentas, contraseñas cifradas, una parte de los ajustes de autenticación en varios factores (MFA), y parte de los ajustes de producto e información de licencias. Además aunque no pudieron hacerse con las bases de datos cifradas de Rescue y GoToMyPC, la configuración MFA de un pequeño grupo de sus clientes si ha resultado afectada«.

A pesar de lo sucedido, y del tiempo que han tardado en confirmar el alcance del ataque, GoTo no ha ofrecido ningún tipo de guía para solucionar los problemas ocasionados, ni consejos para mejorar su seguridad a los clientes afectados. Solo han asegurado que no almacenan los datos bancarios o de las tarjetas de crédito. Tampoco información personal como fecha de nacimiento, dirección de residencia o números de la Seguridad Social (en caso de los clientes estadounidenses).

No obstante, en el caso de LastPass, no sucede lo mismo, y los atacantes consiguieron hacerse con el contenido de los archivos de contraseñas cifrados, además de con los nombres de los clientes, sus direcciones de email, números de teléfono e información sobre facturación.

GoTo tampoco ha dicho cuántos de sus clientes han resultado afectados. En total, tienen 800.000, tanto de empresa como particulares. Según Srinivasan, la compañía se está poniendo en contacto directamente con los afectados, a los que aconseja cambiar las contraseñas y cambiar los ajustes de su autenticación multifactor (MFA) por precaución.