LastPass sufre una brecha de seguridad: roban parte de su código

LastPass, compañía creadora del programa de gestión de contraseñas del mismo nombre, ha sufrido una brecha de seguridad hace dos semanas. Los atacantes consiguieron colarse en su red y quedarse con parte del código fuente de la aplicación. Eso sí, desde la empresa han asegurado que ninguna de las contraseñas que almacenan los usuarios de la aplicación han quedado expuestas. Tampoco a las contraseñas maestras que dan acceso a los contenedores con el resto de contraseñas de servicios de cada usuario de LastPass.

Los hackers consiguieron romper la seguridad de la cuenta de un desarrollador, lo que aprovecharon para robar «código fuente y cierta información técnica propietaria de LastPass«. La compañía ha recalcado en un comunicado en el que detalla la brecha y sus efectos que no tiene «evidencia de que este incidente haya implicado cualquier tipo de acceso a datos de clientes o a contenedores de contraseñas cifrados«. Por eso no recomiendan tomar ninguna medida de seguridad a los usuarios, aparte de las buenas prácticas que utilicen habitualmente.

Karim Toubba, CEO de LastPass, ha detallado que hace un par de semanas detectaron cierta actividad poco habitual en el entorno de desarrollo de LastPass. Iniciaron una investigación de manera inmediata, y concluyeron que un tercero no autorizado consiguió acceso a diversas áreas del entorno de desarrollo de LastPass a través de la cuenta de desarrollador que, como hemos mencionado, identificaron como comprometida. A través de ella sustrajeron los componentes mencionados.

La compañía también se ha asegurado de que sus productos y servicios están funcionando con normalidad, y como respuesta al incidente han desplegado diversas medidas de contención y mitigación. También han contratado los servicios de una compañía de ciberseguridad y análisis forense para profundizar en la investigación. Mientras se realiza, han implementado medidas adicionales de seguridad y contención. También aseguran que no han registrado más evidencias de actividad no autorizada.

Por ahora no hay más información, y desde LastPass aseguran que cuando tengan más datos de cómo se ha producido el ataque y sus efectos lo comunicarán a sus usuarios. Además, están «evaluando la implantación de más técnicas de mitigación» para reforzar su entorno.