Em agosto deste ano, o gerenciador de senhas LastPass sofreu um incidente de segurança no qual cibercriminosos tiveram acesso a seus sistemas e roubaram parte do código-fonte da ferramenta. Em uma nova atualização do comunicado emitido pela empresa sobre o incidente, a LastPass destacou que após concluir a investigação e o processo forense, foi possível confirmar que os atacantes tiveram acesso a seus sistemas por quatro dias até serem detectados.
A empresa também revelou que conseguiu impedir que os criminosos por trás do ataque tivessem acesso a informações sensíveis e garantiu que, de acordo com a investigação, não há provas de que as senhas criptografadas dos usuários do gerenciador de senhas tenham sido acessadas. A empresa também esclareceu que as informações sensíveis dos clientes são armazenadas de forma separada e não tem qualquer conexão com a área de desenvolvimento, que foi comprometida pelo ataque.
Além disso, a empresa também explicou que os criminosos conseguiram comprometer o computador de um desenvolvedor da empresa. Embora a LastPass não tenha conseguido determinar se o ataque ocorreu através de um malware ou outro método, a empresa confirmou que os atacantes tiveram acesso aos seus sistemas por quatro dias e se fizeram passar pelo desenvolvedor para acessar várias informações dentro do ambiente de desenvolvimento após usar a autenticação em duas etapas.
A empresa analisou a integridade do código-fonte e os builds de produção da ferramenta e não encontrou qualquer evidência de que um malware possa ter sido injetado. Ainda segundo a LastPass, os desenvolvedores não têm a possibilidade de enviar o código diretamente para a produção e essa etapa é feito por uma equipe separada que obedece a um processo rigoroso que envolve revisão de código, testes e validações.
O ataque à LastPass provavelmente possa gerar mais preocupação do que outros incidentes devido ao fato de ser um gerenciador de senhas usado por mais de 33 milhões de pessoas. Além disso, em 2015, a empresa sofreu um incidente que afetou sua rede de armazenamento de senhas.
Veja mais: