El servicio de gestión de contraseñas LastPass fue hackeado en agosto de 2022, y el atacante robó las contraseñas cifradas de los usuarios, según un comunicado de la empresa del 23 de diciembre. Esto significa que el atacante podría ser capaz de descifrar algunas contraseñas de sitios web de los usuarios de LastPass mediante adivinación por fuerza bruta.
LastPass reveló por primera vez la brecha en agosto de 2022, pero en ese momento parecía que el atacante solo había obtenido código fuente e información técnica, no datos de clientes. Sin embargo, la compañía ha investigado y descubierto que el atacante utilizó esta información técnica para atacar el dispositivo de otro empleado, que luego se utilizó para obtener claves de datos de clientes almacenados en un sistema de almacenamiento en la nube.
Como resultado, los metadatos no cifrados de los clientes han sido revelados al atacante, incluyendo "nombres de empresas, nombres de usuarios finales, direcciones de facturación, direcciones de correo electrónico, números de teléfono y las direcciones IP desde las que los clientes accedían al servicio LastPass".
Además, se robaron las bóvedas cifradas de algunos clientes. Estas bóvedas contienen las contraseñas de sitios web que cada usuario almacena con el servicio LastPass. Por suerte, las bóvedas están encriptadas con una Contraseña Maestra, lo que debería impedir que el atacante pudiera leerlas.
El comunicado de LastPass hace hincapié en que el servicio utiliza cifrado de última generación para que sea muy difícil para un atacante leer los archivos de la bóveda sin conocer la Contraseña Maestra, declarando:



