La empresa de gestión de credenciales como servicio, LastPass, reveló más información sobre un «segundo ataque coordinado«, en el que un actor de amenazas accedió y robó datos de los servidores de almacenamiento en la nube de Amazon Web Services durante más de dos meses.
Recordatorio, en diciembre de 2022, LastPass reveló una grave violación de datos en sus sistemas, y que permitió a los actores de amenazas acceder a bóvedas de contraseñas cifradas de sus clientes. Lo cual ha puesto en tela de juicio la credibilidad y la seguridad que ofrece, supuestamente, esta empresa. También, es de mencionar que el primer incidente de seguridad fue registrado en agosto de 2022.
La compañía dijo que uno de sus ingenieros Senior de DevOps, violó e infectó su computadora personal con un keylogger como parte de un ataque informático sostenido, que extrajo datos confidenciales de sus servidores de AWS.
“El actor de amenazas aprovechó la información robada durante el primer incidente, la información disponible de una violación de datos de terceros y una vulnerabilidad en un paquete de software de medios de terceros para lanzar un segundo ataque coordinado contra la organización”, dijo LastPass.
Esta intrusión tuvo como objetivo la infraestructura crítica de la organización, los recursos y a uno de sus empleados de la empresa. Se tiene registros que el incidente pudo tener origen desde el 12 de agosto de 2022 hasta el 26 de octubre de 2022. Por otro lado, el incidente original (el primero en ser registrado), terminó el 12 de agosto de 2022.
En el primer incidente en agosto de 2022, los intrusos accedieron al código fuente y a la información técnica patentada de su entorno de desarrollo, por medio de una sola cuenta de empleado comprometida.
En diciembre de 2022, LastPass reveló que el actor de amenazas aprovechó la información robada para acceder a un entorno de almacenamiento basado en la nube y obtener «ciertos elementos de la información de nuestros clientes«, dijo la empresa en un comunicado.
Más tarde en el mismo mes, se reveló que un atacante desconocido había obtenido acceso a una copia de seguridad de los datos de la bóveda del cliente que, según dijo, estaba protegida con cifrado AES de 256 bits. No se divulgó qué tan reciente fue la copia de seguridad.
GoTo, la empresa matriz de LastPass, también admitió una infracción el mes pasado derivada del acceso no autorizado al servicio de almacenamiento en la nube de terceros.
Ahora, según la compañía, el actor de amenazas participó en una nueva serie de «actividades de reconocimiento, enumeración y exfiltración«, dirigidas a su servicio de almacenamiento en la nube entre agosto y octubre de 2022.
«Específicamente, el actor de amenazas pudo aprovechar las credenciales válidas robadas de un ingeniero senior de DevOps para acceder a un entorno de almacenamiento en la nube compartido«, dijo LastPass, y agregó que el ingeniero «tenía acceso a las claves de descifrado necesarias para acceder al servicio de almacenamiento en la nube«.
Esto permitió que el actor malicioso obtuviera acceso a los cubos de AWS S3 que albergaban copias de seguridad de los datos de la bóveda cifrada y del cliente de LastPass.
Se comenta que las contraseñas de los empleados fueron desviadas apuntando a la computadora de la casa del individuo y aprovechando un «paquete de software de medios de terceros vulnerable» para lograr la ejecución remota de código y plantar un keylogger.
«El actor de amenazas pudo capturar la contraseña maestra del empleado tal como se ingresó, después de que el empleado se autenticó con MFA, y obtuvo acceso a la bóveda corporativa de LastPass del ingeniero de DevOps», dijo LastPass.
Después de este incidente, LastPass dijo que mejoró su postura de seguridad al rotar las credenciales críticas y de alto privilegio, cómo también el volver a emitir los certificados obtenidos por el actor de amenazas, y que aplicó medidas adicionales de fortalecimiento de AWS S3 para implementar mecanismos de registro y alertas para evitar que este tipo de hechos vuelvan a ocurrir.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
