LastPass enfrenta demanda por violación de datos

Un demandante anónimo tiene una acción de clase contra la empresa de gestión de contraseñas LastPass después de que la empresa sufriera dos filtraciones de datos en cuatro meses en 2022.

El traje que era presentado por un demandante anónimo Conocido como «John Doe» en el Tribunal de Distrito de Massachusetts de los Estados Unidos, alega que LastPass no «tuvo un cuidado razonable en la protección y seguridad de los datos de los consumidores altamente confidenciales».

La demanda también alega que los malos actores «podrían causar estragos financieros en la vida de los usuarios de LastPass» afectados por la violación. El demandante ha acusado a LastPass de «probablemente almacenar[ing]” las contraseñas maestras de los usuarios, la única forma de desbloquear las bóvedas de contraseñas de los usuarios y acceder a sus credenciales, lo que significa que se habría accedido a las contraseñas de los usuarios durante la violación. Esto daría a las partes malintencionadas acceso a cualquier cantidad de cuentas de usuario, incluidas aquellas que almacenan información bancaria o de pago. Sin embargo, según LastPass, “Contraseña maestra[s] [are] LastPass nunca conocido y [are] no almacenados ni administrados por LastPass», lo que significa que no se pudo acceder a ellos durante las brechas de seguridad.

La demanda alega además que LastPass «no invirtió en medidas de seguridad de datos adecuadas que protegieran al demandante y a los interesados ​​del acceso no autorizado y la copia de su información privada», lo que significa que los afectados por la violación corren un «riesgo particularmente alto de amenazas de rescate y intentos de extorsión» con base en la información divulgada. Esta información incluye nombres de empresas, nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y las direcciones IP utilizadas para acceder a los servicios de LastPass.

También establece que los datos personales de las víctimas «ya no están ocultos, sino que están en manos de ciberdelincuentes que ya han hecho un uso indebido de dichos datos con intenciones fraudulentas». Evidencia de esto es que Doe robó alrededor de $ 53,000 en bitcoins de su billetera blockchain en noviembre de 2022, supuestamente usando claves privadas que almacenó con LastPass.

La demanda alega además que Doe «nunca transmitió a sabiendas información personal sensible sin cifrar o información que de otro modo es confidencial a través de una fuente no segura» y tiene «cuidado extremo» al proteger su información personal. Debido a esto, su bitcoin solo podría haber sido robado si las partes malintencionadas hubieran obtenido acceso a su contraseña maestra y, por lo tanto, a las claves privadas de su bóveda de bitcoin.

Sin embargo, LastPass afirmó que debido a los métodos de cifrado y hash utilizados para proteger a los clientes, «sería extremadamente difícil intentar forzar contraseñas maestras». La compañía también señaló que «tomaría millones de años adivinarlo». [a] Contraseña maestra con tecnología de descifrado de contraseñas disponible públicamente” cuando los clientes siguen las pautas de mejores prácticas para crear contraseñas maestras.

La empresa de administración de contraseñas también declaró que «los datos confidenciales de la bóveda, como nombres de usuario y contraseñas, notas seguras, archivos adjuntos y campos de formulario» permanecieron encriptados de forma segura debido a la arquitectura de conocimiento cero de LastPass.

Las violaciones de datos de LastPass de 2022

En agosto y noviembre de 2022, LastPass sufrió dos filtraciones de datos interconectados que resultaron en el compromiso de la información confidencial de los clientes.

La brecha de agosto vio a un actor malicioso Robar código fuente e información técnica del entorno de desarrollo de LastPass, que luego se utilizó para apuntar a un empleado. Esto permitió que el pirata informático obtuviera acceso a las credenciales y claves que luego usó Acceso al servicio de almacenamiento en la nube de terceros de LastPass en noviembre de 2022. Con las claves, el atacante pudo descifrar algunos volúmenes de almacenamiento dentro del servicio de almacenamiento.

Después de descifrar la información, el pirata informático accedió y copió la información almacenada en una copia de seguridad en la nube que contenía «información básica de la cuenta del cliente y metadatos asociados». Aún no se ha anunciado el número de clientes afectados.

LastPass explicó que el pirata informático también pudo «copiar una copia de seguridad de los datos de la bóveda del cliente desde el contenedor de almacenamiento encriptado, almacenada en un formato binario patentado que contiene tanto datos no encriptados como URL de sitios web» como «datos confidenciales completamente encriptados». Campos como nombres de usuario y contraseñas de sitios web, notas seguras y datos de formularios”.

La empresa de administración de contraseñas aseguró a sus clientes la seguridad de sus datos encriptados y señaló que todos los archivos encriptados permanecen «asegurados con encriptación AES de 256 bits», lo que significa que requieren una clave de encriptación única derivada de la contraseña de cada usuario para decodificarlos. Debido a que LastPass no conoce, almacena ni mantiene las contraseñas maestras de los usuarios, esto reduce la probabilidad de compromiso.

A pesar de esto, LastPass aún advirtió a sus clientes que tengan cuidado. Ataques de ingeniería social o phishing a raíz del ataque.