El incidente de violación de datos que afectó al administrador de contraseñas (se abre en una pestaña nueva) LastPass a principios de este año vio a los ladrones robar bóvedas de contraseñas encriptadas pertenecientes a clientes, confirmó la compañía.
La bóveda de contraseñas es donde las personas guardan sus contraseñas, por lo que si los atacantes encuentran una manera de descifrar las bóvedas, podrían leer todas las contraseñas guardadas allí.
en una actualización (se abre en una pestaña nueva) publicado en el blog de LastPass, el CEO Karim Toubba dijo que los actores de la amenaza usaron claves de almacenamiento en la nube robadas a un empleado de LastPass para acceder y filtrar los datos de la bóveda del cliente. Los datos robados son una combinación de inteligencia cifrada (bóvedas de contraseñas) e información no cifrada (direcciones web almacenadas en bóvedas, nombres, direcciones de correo electrónico, números de teléfono y, en algunos casos, información de facturación).
Contraseña maestra segura
La buena noticia es que las bóvedas de contraseñas se almacenan en un «formato binario patentado», lo que significa que es casi imposible leer el contenido. Para eso, los atacantes necesitarían la contraseña maestra del cliente, que nadie más que el usuario (con suerte) conoce. LastPass afirma no conocer esta información.
“Estos campos encriptados permanecen protegidos con encriptación AES de 256 bits y solo pueden desencriptarse con una clave de encriptación única derivada de la contraseña maestra de cada usuario usando nuestra arquitectura Zero Knowledge”, dijo Toubba. «Como recordatorio, LastPass nunca conoce la contraseña maestra y LastPass no la almacena ni la mantiene».
Aún así, la compañía advirtió que los ciberdelincuentes “pueden intentar usar la fuerza bruta para adivinar su contraseña maestra y descifrar las copias de los datos de la bóveda que tomaron”, lo que podría ser un problema si los usuarios crearon contraseñas maestras débiles y fáciles de adivinar.
Para aquellos preocupados de que su contraseña maestra pueda ser descifrada, lo mejor que pueden hacer ahora sería cambiarla por algo más resistente. Si tiene motivos para creer que el contenido de su bóveda podría verse comprometido, cambiar las contraseñas es la única forma de mantenerse seguro (además de configurar la autenticación de múltiples factores siempre que sea posible).