Os utilizadores do gestor de palavras-passe LastPass enfrentam um novo incidente de segurança originado por terceiros. De acordo com os detalhes partilhados no comunicado oficial do LastPass, uma invasão à plataforma parceira Klue resultou no acesso indevido a informações pessoais de clientes. Embora os cofres principais, onde se guardam as credenciais dos utilizadores, permaneçam seguros e sem compromisso direto, os invasores conseguiram recolher elementos de contacto através de sistemas de gestão de relacionamento com o consumidor.
Para o público português que utiliza esta ferramenta no dia a dia, a situação exige um cuidado redobrado com eventuais campanhas de phishing. Como os dados expostos incluem nomes, números de telefone, moradas e endereços de correio eletrónico, além de registos de suporte técnico e informações comerciais, existe o risco destas informações serem usadas para criar mensagens fraudulentas altamente direcionadas e convincentes.
Cadeia de fornecimento comprometida por tokens
A origem do problema foi detetada em junho, quando se identificaram atividades suspeitas na Klue, uma plataforma de inteligência de mercado integrada em ferramentas corporativas de grande escala, como o Salesforce. O ataque explorou credenciais temporárias, nomeadamente através da obtenção de tokens OAuth, que abriram as portas para a visualização indevida do ambiente de gestão de clientes da empresa.
A Klue reconheceu a invasão e informou que a utilização indevida destes tokens de acesso permitiu a movimentação lateral nos sistemas conectados dos seus clientes. O incidente assumiu contornos de um efeito em cadeia amplo, atingindo não apenas o LastPass, mas também outras organizações do setor da segurança digital e inteligência de ameaças.
Resposta imediata e ameaças de extorsão
Assim que a falha foi identificada, o LastPass implementou medidas imediatas de contenção. A empresa avançou com o bloqueio de todos os acessos ligados ao fornecedor afetado, realizou a rotação de chaves de segurança e iniciou a cooperação com as autoridades competentes para conduzir a investigação do caso.
Apesar da rápida adoção destas medidas defensivas, o grupo cibercriminoso responsável pela ação reivindicou o ataque e lançou ameaças de divulgação do conteúdo obtido caso as suas exigências não sejam atendidas. Até ao momento, não existe confirmação pública oficial sobre a dimensão total da fuga de informação, nem foi revelada a identidade completa dos envolvidos na operação.
Nenhum comentário
Seja o primeiro!