LastPass diz que não há evidência de violação de dados após relatos de usuários que foram notificados de tentativas de login não autorizadas, conforme relatado por AppleInsider. O gerenciador de senhas afirma que nunca foi comprometido e que malfeitores não acessaram contas de usuário.

Nikolett Bacso-Albaum, o diretor sênior da LogMeIn Global PR disse inicialmente A beira que os alertas que os usuários receberam estavam relacionados a “atividades bastante comuns relacionadas a bots”, envolvendo tentativas maliciosas de fazer login em contas LastPass usando endereços de e-mail e senhas que malfeitores obtiveram de violações anteriores de serviços de terceiros (ou seja, não LastPass).

“É importante notar que não temos nenhuma indicação de que as contas foram acessadas corretamente ou que o serviço LastPass foi comprometido por uma parte não autorizada”, disse Basco-Albaum. “Monitoramos regularmente este tipo de atividade e continuaremos a tomar medidas destinadas a garantir que o LastPass, seus usuários e seus dados permaneçam protegidos e seguros.”

No entanto, na terça-feira à noite, o vice-presidente de gerenciamento de produtos da LastPass, Dan DeMichele, emitiu uma declaração para A beira com uma explicação mais detalhada, que diz que pelo menos alguns dos alertas “provavelmente foram disparados por engano” devido a um problema que o LastPass já resolveu.

Como observado acima, o LastPass está ciente e tem investigado relatos recentes de usuários que receberam e-mails alertando-os sobre tentativas de login bloqueadas.
Estamos trabalhando rapidamente para investigar esta atividade e, no momento, não temos nenhuma indicação de que qualquer conta LastPass tenha sido comprometida por um terceiro não autorizado como resultado deste enchimento de credenciais, nem encontramos qualquer indicação de que as credenciais LastPass do usuário foram foram coletados por malware. extensões de navegador fraudulentas ou campanhas de phishing.
No entanto, como precaução, continuamos investigando em um esforço para determinar o que estava fazendo com que os e-mails de alerta de segurança automatizados fossem acionados em nossos sistemas.
Desde então, nossa investigação descobriu que alguns desses alertas de segurança, que foram enviados a um subconjunto limitado de usuários do LastPass, provavelmente foram acionados por engano. Como resultado, ajustamos nossos sistemas de alerta de segurança e esse problema já foi resolvido.
Esses alertas foram acionados devido aos esforços contínuos da LastPass para defender seus clientes de agentes mal-intencionados e tentativas de enchimento de credenciais. Também é importante reiterar que o modelo de segurança de conhecimento zero do LastPass significa que em nenhum momento o LastPass armazena, tem conhecimento ou acesso à (s) senha (s) mestra (s) de um usuário.
Continuaremos monitorando regularmente atividades incomuns ou maliciosas e, conforme necessário, continuaremos a tomar medidas destinadas a garantir que o LastPass, seus usuários e seus dados permaneçam protegidos e seguros.

Relatórios começaram a aparecer no Notícias de hackers fórum depois que um usuário LastPass criou uma postagem para destacar o problema. Ele afirma que o LastPass o alertou sobre uma tentativa de login do Brasil usando sua senha mestra. Outros usuários foram rápidos em responder à postagem, observando que experimentaram algo semelhante. Como o postador original (@technology_greg) aponta em um tweet, alguns também foram alertados sobre uma tentativa do Brasil, enquanto outras tentativas remontam a diferentes países. Isso, de forma compreensível, levantou preocupações sobre uma violação.

Mesmo que o LastPass não tenha sido comprometido, é uma boa ideia fortalecer sua conta com autenticação multifator, que usa fontes externas para verificar sua identidade antes de fazer login em sua conta.

Atualização em 29 de dezembro, 12h20 ET: Adicionada uma nova declaração LastPass