Violación de la red corporativa de LastPass: lo que debe saber

Actualización del lunes 29 de agosto : CyberHoot no es el único que advierte sobre los riesgos de tomar decisiones precipitadas al reaccionar ante la filtración de datos de LastPass, la empresa de gestión de contraseñas. Aquí les presentamos otro excelente artículo de nuestros amigos de Naked Security (otra gran fuente de información y análisis sobre ciberseguridad) acerca de esta filtración. Siguen apoyando firmemente la adopción de gestores de contraseñas. Incluso ofrecen respuestas a las preguntas más frecuentes surgidas tras la filtración de LastPass.

El 25 de agosto de 2022, LastPass reportó una vulneración de seguridad en su red corporativa a los usuarios de su solución de gestión de contraseñas. Afirmaron que no se robaron datos de los usuarios, pero sí el código fuente. Dado que CyberHoot recomienda adoptar un gestor de contraseñas, compartimos estos puntos de discusión con nuestros clientes y usuarios. 

Datos y puntos de discusión sobre la violación de LastPass

1. No se vulneró el producto LastPass, sino su red corporativa. No se robó ningún dato de cliente.
2. Ningún software jamás escrito es perfecto, ni siquiera LastPass, Excel ni ningún otro gestor de contraseñas. Las vulnerabilidades pueden ocurrir, y ocurrirán.
3. Estudios e historia han demostrado que las empresas que no adoptan un gestor de contraseñas sufren más infracciones de seguridad que las que sí lo hacen (debido a la reutilización de contraseñas). (Fuente: Verizon Data Breach Report)
4. Haber sufrido una violación de seguridad es definitivamente algo malo que le pueda pasar a LastPass, pero su transparencia al respecto es algo bueno.
5. Se ha verificado de forma independiente que LastPass sigue las mejores prácticas para cifrar sus datos y aplicar sal y hash a su contraseña maestra.
6. Los expertos en seguridad han revisado y verificado que LastPass no tiene acceso a sus datos cifrados ni a sus contraseñas maestras, ni tampoco podrían obtener dicho acceso.
7. CyberHoot respalda la recomendación de la industria de seguridad de adoptar un administrador de contraseñas para la mayor seguridad que brinda a los empleados.
8. LastPass tiene un programa de recompensas de errores Animar a los hackers de sombrero blanco a que reporten problemas de seguridad de forma responsable en sus productos. Esto es muy positivo.
9. SolarWinds,, Cisco, MicrosoftTodos han sufrido brechas de seguridad en sus productos o en su red corporativa recientemente. Las brechas de seguridad ocurren.
10. HaveIBeenPwned.com Se informa que 11.9 millones de cuentas públicas están expuestas en línea. CyberHoot estima que hay entre 5 y 15 veces más cuentas expuestas en la dark web.
11. Incluso las empresas de seguridad como Carbon negro, y RSA Han sufrido vulneraciones en sus redes y robo de IP en el pasado. No se trata de si, sino de cuándo. 

Dado que las violaciones ocurren en cualquier empresa, incluidas las empresas centradas en la seguridad, ¿qué debería buscar en las empresas cuyo software compra?

CyberHoot considera que debes tener en cuenta la transparencia de cada empresa ante una posible brecha de seguridad. LastPass, cabe destacar, ha sido muy transparente en lo que respecta a la seguridad, tanto ahora como en el pasado.

¿Debería dejar de usar LastPass?

No. CyberHoot no ve ninguna razón para dejar de usar LastPass actualmente. Seguiremos monitoreando e informando sobre esta situación a medida que evolucione.

Recomendaciones de CyberHoot tras la filtración de LastPass:​

El mismo consejo que siempre hemos dado aplica a sus empresas. Parece un poco tropismo decirlo, pero ahora, más que nunca, necesitan tomarse en serio la ciberseguridad en sus organizaciones y adoptar las siguientes prácticas. 

1. Habilite siempre MFA para acceder a cualquier administrador de contraseñas, incluido LastPass.
2. Comunique este incidente y su continuo apoyo al uso de un administrador de contraseñas a sus usuarios.
3. Capacite a sus empleados sobre MFA, ataques de phishing, seguridad de contraseñas, ransomware y más. Organice la capacitación regularmente (mensualmente).
4. Gobierne a sus empleados con políticas de gobernanza de ciberseguridad que incluyan una política de contraseñas.
5. Construya un marco de gestión de riesgos en su empresa para evaluar situaciones como ésta y gestionar y mitigar los riesgos para su negocio.
6. Considere contratar un vCISO para que lo ayude a desarrollar su programa de ciberseguridad y resiliencia ante riesgos.

Si sigue estas prácticas recomendadas de ciberseguridad, podrá reducir significativamente el riesgo para su PYME o MSP.

Lecturas y recursos adicionales:

Artículo de Naked Security del 23 de diciembre sobre la filtración de LastPass

Artículo de debate de Naked Security sobre la vulneración de LastPass

Blog de LastPass que describe la infracción y su respuesta