O LastPass, um dos gestores de palavras-passe mais usados no mundo, está outra vez a lidar com uma falha de segurança. A boa notícia é que, desta vez, o problema não veio diretamente da empresa nem dos famosos ataques que sofreu no passado. A má notícia é que dados de clientes acabaram mesmo expostos e convém perceberes se isto te afeta. A falha teve origem num fornecedor externo, e é um lembrete de que, na segurança digital, somos sempre tão fortes quanto o elo mais fraco da cadeia.
Falha de segurança no LastPass: o que aconteceu afinal?
O LastPass confirmou, num comunicado oficial, que piratas informáticos acederam a informação de alguns clientes depois de comprometerem a Klue, uma plataforma externa de análise de mercado usada pelas equipas comerciais do LastPass.
A empresa diz ter tido conhecimento do incidente a 12 de junho. Durante a investigação, descobriu-se que os atacantes conseguiram aceder a tokens OAuth guardados pela Klue. Na prática, estes tokens funcionam como “chaves de acesso” que ligam serviços diferentes entre si e, neste caso, davam entrada nos ambientes de Salesforce e Gong usados pelo LastPass.
Que dados ficaram expostos
Esta é a parte que interessa a quem é cliente. Entre a informação acedida estão:
- Nomes de clientes
- Endereços de email
- Números de telefone
- Moradas físicas
- Registos de pedidos de apoio (tickets de suporte)
- Alguns dados relacionados com vendas
O ponto crucial e é importante sublinhar isto é que as palavras-passe guardadas não foram comprometidas. O LastPass garante que a sua própria infraestrutura não foi violada e que os cofres de palavras-passe, as credenciais encriptadas e os serviços principais permaneceram intactos.
Como é que os atacantes entraram
Por seu lado, a Klue explicou que os atacantes entraram no sistema através de uma credencial antiga e comprometida, associada a uma ferramenta de integração. Uma vez lá dentro, roubaram os tokens OAuth dos clientes e usaram-nos para extrair dados das plataformas na nuvem ligadas ao serviço.
Desde então, a Klue já revogou as credenciais afetadas, desativou várias integrações e removeu o acesso malicioso dos seus sistemas. A própria equipa de segurança do Salesforce teve de intervir ao detetar atividade suspeita, desativando a ligação da aplicação da Klue. O Salesforce fez questão de esclarecer que o problema esteve na aplicação externa e não numa vulnerabilidade da sua plataforma.
És cliente do LastPass? Faz isto
Segundo o LastPass, não é necessária qualquer ação para proteger as palavras-passe guardadas, já que os cofres não foram afetados. Mas atenção: isto não significa que podes baixar a guarda.
Com nomes, contactos e registos de suporte nas mãos, os atacantes têm tudo o que precisam para lançar campanhas de phishing e de engenharia social muito convincentes. Por isso, se és cliente, redobra os cuidados:
- Desconfia de emails ou SMS que digam ser do LastPass, sobretudo se pedirem dados ou cliques urgentes.
- Nunca cliques em links suspeitos, entra sempre no site oficial escrevendo o endereço à mão.
- Ativa a autenticação em dois passos (2FA) na tua conta, se ainda não o fizeste.
- Lembra-te: uma empresa séria nunca te pede a palavra-passe mestre por email ou telefone.
A lição que fica
Este caso mostra bem como os ataques à cadeia de fornecimento estão a tornar-se cada vez mais comuns. Já não basta uma empresa proteger bem os seus próprios sistemas, basta um fornecedor com uma porta mal fechada para os dados dos clientes acabarem expostos.
Se usas o LastPass, não há motivo para pânico, mas há toda a razão para estares mais atento nas próximas semanas. Em segurança digital, a desconfiança saudável é sempre a melhor defesa.
