LastPass ha informado en su blog oficial de un ataque a la cadena de suministro de Klue. Los atacantes han accedido a datos de los clientes desde su entorno Salesforce y esto lo han conseguido después de robar los tokens OAuth previamente. No se trata de un ataque directo al popular gestor de contraseñas, sino que es un problema que afecta a la cadena de suministros, algo que demuestra que es uno de los vectores más peligrosos actualmente.
Qué ha pasado con LastPass
Los atacantes han podido comprometer Klue, que es una plataforma de inteligencia de mercado de terceros, la cual se integra con Salesforce y Gong. La actividad no autorizada tuvo lugar el pasado 12 de junio, según la información proporcionada por LastPass.
Desde LastPass aseguran que, una vez fueron conscientes de este acceso, “inmediatamente iniciamos una investigación y descubrimos que, como parte de este incidente, un actor no autorizado pudo obtener tokens OAuth que Klue tenía para muchos de sus clientes, incluido LastPass”.
Los atacantes utilizaron esos tokens OAuth para acceder a los datos de los clientes de este administrador de contraseñas, a través del entorno Salesforce. Por ahora, no hay evidencias de que hayan accedido también a datos de Gong.
Un token OAuth actúa como una llave digital temporal que permite a una aplicación (como la plataforma de inteligencia de mercado Klue) acceder a datos en otro servicio (como Salesforce) sin necesidad de conocer la contraseña del usuario. En este ataque, los ciberdelincuentes robaron esas llaves, lo que les permitió hacerse pasar por una aplicación legítima y extraer los datos de los clientes de LastPass.
En su blog oficial, Klue ha informado en una publicación con fecha de 22 de junio sobre este incidente. Aseguran que tomaron acciones rápidamente para investigar qué ha ocurrido. No han indicado qué tipo de credenciales fueron robadas.
Qué datos han obtenido
LastPass indica en su comunicado que hay ciertos datos que han podido quedar expuestos para los atacantes. Son los siguientes:
- Nombres de los clientes.
- Números de teléfono.
- Direcciones de correo electrónico.
- Direcciones físicas.
- Datos relacionados con ventas.
Aseguran que no ha afectado a:
- Contraseñas.
- Clave maestra.
- La infraestructura principal del servicio.
- Productos de LastPass.
Qué pueden hacer los atacantes con estos datos
Los piratas informáticos detrás de este acceso indeseado podrían utilizar esa información para lanzar ataques de phishing. Van a conocer el nombre de la víctima, la dirección, el teléfono o el e-mail, por lo que podrán ponerse en contacto y suplantar la identidad de LastPass, por ejemplo.
Este tipo de información es muy valiosa en Internet, ya que podría terminar a la venta en la Dark Web. Otros atacantes podrían usar estos datos para lanzar sus propios ataques, suplantar la identidad de las víctimas y llegar a sus contactos, etc.
Qué hago si tengo cuenta en LastPass
Si eres usuario de LastPass, es importante que estés alerta ante cualquier correo electrónico o SMS que recibas en los próximos días. Podría tratarse de una estafa, con el objetivo de que hagas clic en un enlace o pongas tus datos en una página falsa y llegar a robar más información.
En LastPass han tomado medidas de inmediato para reducir el riesgo, ya que deshabilitaron el acceso de los empleados a Klue, rotaron los tokens API/OAuth expuestos y notificaron a las autoridades mientras se llevaba a cabo la investigación.
Recuerdan también que solo hay que confiar en las comunicaciones oficiales, de los canales de soporte oficiales y nunca información que llegue por medios alternativos. Los cibercriminales podrían aprovecharse de ello para llegar a más posibles víctimas y lograr sus objetivos de robar contraseñas e información sensible. Hay que mencionar que ya hubo una filtración de datos de LastPass en diciembre de 2022.