Fallo de seguridad en LastPass, mucho peor de lo que ha informado la compañía

LastPass es uno de los gestores de contraseñas más populares, aunque también está entre los que genera mayor desconfianza.

El gestor de contraseñas LastPass no está pasando por su mejor momento. En 2022 ha sufrido dos grandes ataques a sus servidores, uno en el mes de agosto y otro hace apenas unas semanas. Esto sin duda es un gran problema, ya que como clientes confiamos en este tipo de servicios para poder almacenar nuestras contraseñas de manera segura, pero después vemos como uno de los más grandes termina hackeado.

A priori, en ambos ataques se informó que las contraseñas estaban completamente a salvo gracias a las barreras de seguridad que se integran en sus sistemas. Pero tras investigar en profundidad, LastPass ha confirmado a través de una actualización en la entrada de su blog que se sustrajo una copia de seguridad de una de sus bóvedas en el ataque. Esto hace que salten todas las alarmas, pues en estas bóvedas se encuentran las contraseñas de los clientes.

Las bóvedas están encriptadas, pero la fuerza bruta puede ser usada

En esta entrada se informa de que la caché de las bóvedas se almacena en un formato binario patentado que tiene datos de la bóveda tanto cifrados como sin cifrar. Estos datos fueron robados gracias al acceso a una de las claves de los empleados de la empresa, lo que daba alas a los ciberdelincuentes a acceder a la información de los servidores sin demasiada complicación.

En un primer momento, se afirmó que todas las contraseñas de las bóvedas están a buen recaudo, ya que solo se pueden desbloquear con las contraseñas maestras que únicamente tienen en su poder los clientes. Pero en este caso, la propia empresa también ha afirmado que a través de la fuerza bruta se puede llegar a tener acceso a las bóvedas, aunque cueste mucho tiempo. Esto hace que el sistema de encriptación que se usa esté cuestionado.


No han dado datos precisos de que copia de seguridad han robado, ya que es posible que sea algo antigua y las contraseñas almacenadas no se correspondan con las actuales. Ante este caso hay que analizar la contraseña maestra de cada usuario y determinar si es segura o no. En el caso de que sea débil, y por ende se puede sacar fácilmente por fuerza bruta, se debe cambiar cuanto antes por una más compleja. Y si ya de por sí la tenías muy débil del todo, será vital cambiar todas las contraseñas de los servici9os que estén almacenados en esta.

Los datos que si se filtraron, y por los que no se puede hacer nada, son el nombre, direcciones de correo electrónico, teléfono y cierta información de facturación. El dato positivo que han ofrecido es que si la bóveda cuenta con el sistema de autenticación de doble factor activado hará mucho más difícil el acceso por parte del atacante, ya que hará falta el código que se envía al dispositivo móvil.

Ante este tipo de robos de contraseñas lo mas recomendable es utilizar programas de contraseñas que puedan funcionar de manera offline, como puede ser KeePass, de esta forma las contraseñas serán guardadas por ti, sin necesidad de depender de empresas externas.