A LastPass, uma das principais geradoras de senha, foi hackeada. Segundo a empresa, os agentes obtiveram um grande número de dados confidenciais como senhas criptografadas, hash criptográficos e outras informações armazenadas nos cofres dos clientes. 

A revelação representa uma dramática violação que ocorreu na empresa em agosto deste ano. Na época, a empresa disse que um hacker obteve acesso não autorizado por meio de uma única conta comprometida, assim teve acesso a partes do ambiente de desenvolvimento do gerenciador de senhas e “pegou partes do código-fonte e algumas informações técnicas proprietárias do LastPass”, de acordocom a Ars Technica. 

Informações vazadas

A empresa disse que os hackers obtiveram informações como nome dos clientes, nome dos usuários finais, endereço de cobranças, e-mails, números de telefones e endereços de IP relacionados aos utilizadores do LastPass. Além de copiarem um backup com dados de cofre de clientes, que inclui dados não criptografados, como URLs de sites e campos de dados criptografados, como nomes de usuário e senhas de sites, notas seguras e dados preenchidos em formulários.

“Esses campos criptografados permanecem protegidos com criptografia AES de 256 bits e só podem ser descriptografados com uma chave de criptografia exclusiva derivada da senha mestra de cada usuário usando nossa arquitetura Zero Knowledge”, escreveu o CEO da LastPass, Karim Toubba, referindo-se ao Advanced Encryption Scheme e um pouco taxa que é considerada forte. 

A investigação informou que, até agora, não há informações de dados de cartões de créditos vazados. O LastPass não armazena estas informações em sua totalidade, elas são em uma nuvem diferente da que foi hackeada.  

Em sua atualização, foi informado que o agente de ameaças poderia usar o código fonte e as informações técnicas roubadas para hackear funcionários separados do LastPass e obter credenciais e chaves de segurança para acessar e descriptografar volumes de armazenamento no serviço de armazenamento baseado em nuvem da empresa. 

“Até o momento, determinamos que, uma vez que a chave de acesso ao armazenamento em nuvem e as chaves de descriptografia do contêiner de armazenamento duplo foram obtidas, o agente da ameaça copiou informações do backup que continham informações básicas da conta do cliente e metadados relacionados, incluindo nomes de empresas, nomes de usuários finais, cobrança endereços, endereços de e-mail, números de telefone e os endereços IP dos quais os clientes estavam acessando o serviço LastPass”, disse Toubba.