Mensagens anteriores

Durante o dia de ontem, vários utilizadores do serviço de gestão de senhas da LastPass começaram a ser notificados para o facto que as suas senhas mestra teriam sido usadas em tentativas de login nas suas contas da plataforma.

O caso começou a espalhar-se pelas redes sociais, e rapidamente a empresa veio deixar mais detalhes sobre o mesmo. Os emails que os utilizadores se encontravam a receber indicava que as suas senhas mestre, as senhas necessárias para aceder ao cofre de cada utilizador, teria sido usada numa tentativa de login na conta – e que a plataforma teria bloqueado a mesma por ser feita de uma localização diferente do normal.

Inicialmente a LastPass afirmou que isto poderia derivar de uma tentativa coordenada de ataques contra o serviço, onde bots estariam a usar senhas reveladas em leaks pela Internet para tentar realizar o login na conta dos utilizadores. No entanto, esta explicação cai por terra quando utilizadores alteraram as suas senhas para outras inteiramente novas, apenas para receberem novamente o mesmo alerta.

Agora, parece que afinal o problema teria derivado de uma conjugação de fatores. Segundo o comunicado da LastPass enviado ao portal The Verge, a situação terá derivado de uma combinação de uma onda de ataques com uma falha no sistema de notificação da empresa.

A empresa confirma que, por lapso, alguns utilizadores podem ter recebido notificações para tentativas de login nas suas contas, usando a senha mestra, quando na verdade tal não aconteceu. Esses utilizadores podem realmente ter recebido tentativas de login nas suas contas por bots, mas não com o recurso à sua senha mestra.

Ou seja, o sistema da LastPass estaria a enviar, incorretamente, as mensagens de alerta para os utilizadores. Isto terá sido, no entanto, suficiente para que fossem conjugadas teorias sobre o possível compromisso das senhas mestre – algo que a empresa garante não ter ocorrido.