Los usuarios de LastPass están recibiendo malas noticias otra vez. El gestor de contraseñas ha confirmado que datos personales de sus clientes fueron robados durante una brecha de seguridad en Klue, una empresa de investigación de mercado que actuaba como socio tecnológico. El incidente, que salió a la luz esta semana, marca el segundo gran robo de datos que afecta a la compañía en los últimos años.

¿Qué datos se llevaron los atacantes?

Según la información que LastPass ha compartido con los afectados y en una publicación en su blog, los hackers accedieron a nombres, números de teléfono, direcciones de correo electrónico, direcciones físicas, así como a datos de casos de soporte al cliente e información relacionada con ventas. La compañía ha querido dejar claro que sus propios sistemas y, lo que es más importante, las bóvedas de contraseñas de los usuarios no se vieron comprometidas en este ataque.

Aunque aún no se sabe con exactitud qué contenían los tickets de soporte robados, este tipo de registros suelen incluir fragmentos de información sensible. En incidentes pasados, los tickets de soporte han llegado a contener credenciales e incluso documentos de identidad oficiales.

El origen: una credencial olvidada de 2022

La investigación de Klue ha revelado un detalle preocupante sobre el origen del ataque. La brecha, detectada por la empresa el 12 de junio, fue posible gracias a una credencial que databa de 2022. Según explicó Katie Berg, portavoz de Klue, esa credencial «fue proporcionada originalmente a un tercero en 2022 para un piloto limitado».

Lo más llamativo es que, según Klue, esa credencial no fue revocada una vez finalizado el piloto. La empresa no ha querido explicar cuál fue el propósito de esa prueba, cuánto duró, ni a qué tercero se le entregó la credencial. Tampoco ha aclarado por qué no se desactivó después.

Los hackers utilizaron esa credencial para acceder a un sistema de Klue que almacenaba las claves (tokens OAuth) que permitían a la empresa acceder a los datos de sus clientes alojados en otras nubes y bases de datos. Una vez dentro, descargaron esa información para extorsionar a las compañías afectadas.

Un grupo de hackers llamado Icarus

Un grupo de hacking y extorsión que se hace llamar Icarus se ha atribuido la autoría del ataque. En su sitio de filtración de datos, el grupo ha amenazado públicamente con liberar la información robada si no se paga un rescate. Klue no ha confirmado si ha tenido contacto con los hackers o si planea pagar.

No es la primera vez que LastPass sufre un golpe

Este nuevo incidente llega después de que en 2022 LastPass sufriera una brecha masiva en la que los hackers robaron todas las bóvedas de contraseñas de sus clientes. Aunque esas bóvedas estaban cifradas con contraseñas maestras, los atacantes lograron forzarlas offline, especialmente aquellas protegidas con claves débiles. A ese robo se le atribuyeron posteriormente varios robos de criptomonedas.

Un problema que afecta a toda la industria

LastPass no es la única compañía afectada por la brecha en Klue. Otras empresas de ciberseguridad como HackerOne, Recorded Future y Tanium también han reportado robos de datos como consecuencia de este mismo ataque.

Klue ha asegurado que está llevando a cabo «una revisión exhaustiva de la gestión de credenciales, los controles de acceso de proveedores, las capacidades de monitoreo y los procesos de seguridad de implementación». La investigación sobre el alcance total del incidente continúa en curso.