Senhas criptografadas dos usuários vazaram neste ano e foi confirmada pela empresa no fim de agosto
A invasão aos sistemas do gerenciador LastPass, confirmada no final de agosto deste ano, resultou no furto de senhas criptografadas dos usuários do aplicativo. Contudo, houve uma atualização do caso na última quinta-feira (22). Agora, o CEO da companhia, Karim Toubba, cita a exposição de informações básicas dos utilizadores como parte do incidente de segurança cibernética. Ele afirmou ainda que os hackers conseguiram copiar um backup com os cofres dos clientes. No entanto, as credenciais estão criptografadas e não poderiam ser recuperadas pelos atacantes.
Senhas criptografadas dos usuários LastPass
Mesmo assim, a atualização faz escalar uma ocorrência que já vinha sendo tratada com gravidade em razão do comprometimento de parte do código-fonte da aplicação. Porém, Toubba lembra que nenhum dado de cliente foi acessado em agosto.
Por outro lado, o LastPass afirma que, além das senhas, dados como nomes, endereços de cobrança, e-mails, números de telefone e IPs usados para acesso ao serviço também teriam sido obtidos pelos criminosos responsáveis; estes, em formato aberto, sem nenhum tipo de criptografia de segurança.
Comunicado da empresa
No comunicado, a empresa responsável pelo gerenciador de senhas sinaliza que dados sensíveis continuam seguros, como informações de cartão de crédito. Junto das senhas, os bandidos também teriam obtido mais informações via internet, como: URLs de sites cujas credenciais estão armazenadas no serviço, assim como anotações e dados de autopreenchimento.
Logins e senhas
Por outro lado, logins e senhas também foram comprometidos, porém, estariam criptografados em um formato proprietário, baseado em encriptação 256-bit AES. Neste caso, ele pode ser desvendado sem a chave-mestra exclusiva de cada instalação do software.
Como ocorreu a invasão
Segundo o LastPass, a invasão ocorreu a partir de credenciais e chaves encontradas em meio ao código-fonte e outras informações técnicas acessadas inicialmente. Em seguida, tais informações foram usadas para acessar um backup da empresa em um serviço de hospedagem na nuvem. No entanto, não há informações se este é o mesmo caso registrado no início deste mês, que também envolveu a obtenção de dados de utilizadores.
*Foto: Reprodução