LastPass dice que no se piratearon contraseñas después del susto de pirateo

LastPass dice que no hay evidencia de una violación de datos después de que los usuarios informan que han sido notificados de intentos de inicio de sesión no autorizados, como se informó anteriormente. Camello. El administrador de contraseñas asegura que nunca ha sido pirateado y que agentes malintencionados no acceden a las cuentas de usuario.

Nicolette Paxo-Albaum, directora senior de LogMeIn Global PR, dijo al principio el borde Las alertas que recibieron los usuarios estaban relacionadas con «actividad de bots bastante común», incluidos intentos maliciosos de iniciar sesión en cuentas de LastPass utilizando direcciones de correo electrónico y contraseñas obtenidas por actores maliciosos de abusos pasados ​​de servicios de terceros (es decir, no LastPass).

«Es importante señalar que no tenemos indicios de que se haya accedido con éxito a las cuentas o que LastPass haya sido comprometido por una parte no autorizada», dijo Basco-Albaum. «Controlamos regularmente este tipo de actividad y continuaremos tomando medidas diseñadas para garantizar que LastPass, sus usuarios y sus datos permanezcan protegidos y seguros».

Sin embargo, el vicepresidente de gestión de productos de LastPass, Dan DeMichele, el martes por la noche emitió un comunicado para el borde Con una explicación más detallada, señala que al menos algunas de las alertas «probablemente se activaron por error», debido a un problema que LastPass ya ha resuelto.

Como se mencionó anteriormente, LastPass está al tanto de informes recientes de usuarios que reciben correos electrónicos que les alertan sobre intentos de inicio de sesión bloqueados y los ha estado investigando.
Hemos investigado rápidamente esta actividad y, en este momento, no tenemos indicios de que ninguna cuenta de LastPass haya sido comprometida por un tercero no autorizado como resultado de este relleno de credenciales, ni hemos encontrado ningún indicio de que las credenciales de usuario de LastPass hayan sido comprometidas. Cosechado por malware, extensiones de navegador engañosas o campañas de phishing.
Sin embargo, por mucha precaución, hemos continuado investigando en un esfuerzo por determinar por qué los correos electrónicos de alerta de seguridad automatizados se activan desde nuestros sistemas.
Desde entonces, nuestra investigación descubrió que algunas de estas alertas de seguridad, que se enviaron a un subconjunto limitado de usuarios de LastPass, se activaron por error. Como resultado, modificamos nuestros sistemas de alerta de seguridad y este problema se resolvió desde entonces.
Estas alertas fueron activadas por los esfuerzos continuos de LastPass para defender a sus clientes de los malos actores y los intentos de descifrar las credenciales. También es importante reiterar que el modelo de seguridad de conocimiento cero de LastPass significa que en ningún momento LastPass almacena, conoce o accede a la contraseña maestra de los usuarios.
Continuaremos monitoreando regularmente cualquier actividad inusual o maliciosa y, según sea necesario, continuaremos tomando las medidas diseñadas para garantizar que LastPass, sus usuarios y sus datos permanezcan protegidos y seguros.

Los informes comienzan a aparecer en noticias piratas foro Después de que un usuario de LastPass creara una publicación destacando el problema. Afirma que LastPass le advirtió sobre intentar iniciar sesión desde Brasil con su contraseña maestra. Otros usuarios respondieron rápidamente a la publicación, indicando que encontraron algo similar. Como señala el póster original (technology_greg) en un tweet, algunos también fueron alertados de un intento de Brasil, mientras que otros fueron rastreados a diferentes países. Esto, comprensiblemente, generó temores de una infracción.

Incluso si LastPass no está realmente pirateado, es una buena idea fortalecer su cuenta Autenticación multifactor, que utiliza fuentes externas para verificar su identidad antes de iniciar sesión en su cuenta.

Actualización 29 de diciembre a las 12:20 a.m. ET: Nueva declaración agregada de LastPass