A LastPass confirmou que hackers roubaram os cofres (vaults) de senhas criptografados de seus clientes, que armazenam as senhas destes usuários, em uma violação de dados no início deste ano.
Em um post de blog atualizado sobre sua divulgação, o CEO da LastPass, Karim Toubba, disse que os intrusos levaram uma cópia de segurança dos dados do cofre do cliente, usando chaves de armazenamento em nuvem roubadas de um funcionário da LastPass.
O cache dos cofres de senhas dos clientes é armazenado em um “formato binário proprietário” que contém dados não criptografados e criptografados do cofre, mas os detalhes técnicos e de segurança deste formato proprietário não foram especificados.
Os dados não criptografados incluem endereços web armazenados em cofres. Não está claro quão recentes são os backups roubados.
A LastPass diz que os cofres de senhas dos clientes são criptografados e só podem ser desbloqueados com a senha principal do cliente, que só é conhecida pelo usuário do cofre.
Mas a empresa advertiu que os cibercriminosos por trás da intrusão “podem tentar usar força bruta para adivinhar sua senha mestra e decodificar as cópias dos dados do cofre que levaram”.
Toubba disse que os criminosos cibernéticos também levaram vastas quantidades de dados de clientes, incluindo nomes, endereços de e-mail, números de telefone e algumas informações de faturamento.
Dados criptografados com AES256
Felizmente, os dados criptografados são protegidos com criptografia AES de 256 bits e só podem ser descriptografados com uma chave de criptografia única derivada da senha mestra de cada usuário.
De acordo com o Toubba, a senha mestre nunca é conhecida pela LastPass, ela não é armazenada nos sistemas da LastPass, e a LastPass não a mantém.
Os clientes também foram avisados de que os atacantes poderiam tentar forçar suas senhas-mestras para obter acesso aos dados criptografados roubados do cofre, ou seja, teoricamente eles podem ter acesso aos seus dados se a sua senha não era realmente forte (teria que ser MUITO fraca diga-se de passagem).
Ainda de acordo com Toubba
“Seus dados confidenciais do cofre, como nomes de usuário e senhas, notas seguras, anexos e campos de preenchimento de formulários, permanecem criptografados com segurança com base na arquitetura de conhecimento zero da LastPass”.
Quebrado duas vezes em um único ano
A violação do armazenamento em nuvem é o segundo incidente de segurança revelado pela empresa desde o início do ano, após confirmar, em agosto, que seu ambiente de desenvolvedores foi violado utilizando uma conta comprometida do desenvolvedor.
Mas a publicação deste último aviso só ocorreu depois que o pessoal da Bleeping Computer entrou em contato com eles e não obteve respostas em relação a uma possível invasão.
Em uma atualização posterior, a empresa também revelou que o atacante por trás da violação de agosto manteve acesso interno a seus sistemas por quatro dias até removido do sistema.
A LastPass diz que seu software de gerenciamento de senhas está sendo usado por mais de 33 milhões de pessoas e 100.000 empresas em todo o mundo.
Moral da história…
Gerenciadores de senhas são ótimos, mas sinceramente hoje utilizamos serviços online (ou em nuvem como o marketing gosta de chamar) que em termos de segurança estão longe de serem ideais, existem serviços self-hosted que poderiam suprir esta necessidade de forma bem mais segura.
Gerenciadores offline ainda são a melhor solução
Muitos nos perguntaram sobre este caso e qual seria o serviço alternativo recomendado, nossa recomendação foi simplesmente usar um gerenciador offline, mesmo que seja necessária sincronização manual entre dispositivos, esta ainda é a melhor solução.
Entre alguns apps que recomendamos estão o Keepass (offline), Passbolt (self-hosted), LessPass, Shaark entre outros.
Logo mais faremos um tutorial de instalação e dicas de uso de alguns destes apps. De resto lembrem sempre que o seu cofre virtual é tão seguro quanto a senha mestra que você irá utilizar nele e ao utilizar um serviço online você está confiando seus dados e senhas mais seguras a um serviço que pode falhar.
O caso da LastPass ilustra como devemos tomar cuidado com a segurança dos nossos dados e reforçando mais uma vez, se você utiliza o serviço, fuja dele, não tem porque deixar o azar bater na porta uma terceira vez.
