28 dic 2021

¿Contraseñas maestras de LastPass comprometidas? ¿Día de los inocentes?

Muchos usuarios de LastPass están informando que sus contraseñas maestras se han visto comprometidas después de recibir advertencias por correo electrónico de que alguien intentó usarlas para iniciar sesión en sus cuentas desde ubicaciones desconocidas.

Los informes de contraseñas maestras de LastPass comprometidas se transmiten a través de múltiples sitios de redes sociales y plataformas en línea, incluidos Twitter, Reddit, Howtogeek, Hacker News.

De todos modos, la advertencia no parece haber pasado de una especulación (o alguien celebrando el día de los inocentes) y también se han reportado casos similares en Bitwarden y 1Password.

Las notificaciones por correo electrónico mencionan que los intentos de inicio de sesión se han bloqueado porque se realizaron desde ubicaciones desconocidas en todo el mundo.

Nikolett Bacso-Albaum, directora senior de LogMeIn Global, dijo a BleepingComputer que "LastPass investigó informes recientes de intentos de inicio de sesión bloqueados y determinó que la actividad está relacionada con una actividad bastante común relacionada con bots, en la que un actor malintencionado intenta acceder a las cuentas de usuario ( en este caso, LastPass) utilizando direcciones de correo electrónico y contraseñas obtenidas de infracciones de terceros relacionadas con otros servicios no afiliados".

"Es importante tener en cuenta que no tenemos ningún indicio de que se haya accedido correctamente a las cuentas o de que el servicio LastPass haya sido comprometido por una parte no autorizada. Controlamos regularmente este tipo de actividad y seguiremos tomando medidas diseñadas para garantizar que LastPass, sus usuarios, y sus datos permanecen protegidos y seguros", agregó Bacso-Albaum.

Sin embargo, los usuarios que reciben estas advertencias han declarado que sus contraseñas son exclusivas de LastPass y no se utilizan en ningún otro lugar. Algunos clientes también informaron haber cambiado sus contraseñas maestras desde que recibieron la advertencia de inicio de sesión, solo para recibir otra alerta después de que se cambió la contraseña.

Para empeorar las cosas, los clientes que intentaron deshabilitar y eliminar sus cuentas de LastPass después de recibir estas advertencias también informan que recibieron errores después de hacer clic en el botón "Eliminar".

Hace dos años, en septiembre de 2019, LastPass solucionó una vulnerabilidad de seguridad en la extensión de Chrome del administrador de contraseñas que podría haber permitido a los actores de amenazas robar las credenciales utilizadas por última vez para iniciar sesión en un sitio.

Se recomienda a los usuarios de LastPass que habiliten la autenticación multifactor para proteger sus cuentas incluso si su contraseña maestra no se vio comprometida.

Fuente: BC

Suscríbete a nuestro Boletín

2 comentarios:

Gracias por dejar un comentario en Segu-Info.

Gracias por comentar!