LastPass y el presunto compromiso de su contraseña maestra

LastPass es uno de los gestores de contraseñas más usados de la industria. Los últimos días, grupos de usuarios han informado que sus contraseñas maestras se habían visto comprometidas (supuestamente) después de recibir advertencias por correo electrónico de que alguien ha intentado usarlas para iniciar sesión en sus cuentas desde ubicaciones desconocidas.

Las notificaciones por correo electrónico también mencionan que los intentos de inicio de sesión se había bloqueado porque se realizaron desde ubicaciones desconocidas en todo el mundo. «Alguien acaba de usar su contraseña maestra para intentar iniciar sesión en su cuenta desde un dispositivo o ubicación que no reconocimos«, advierten las alertas de inicio de sesión. «LastPass bloqueó este intento, pero debería mirar más de cerca. ¿Era usted?«

Los informes de supuestas contraseñas maestras de LastPass comprometidas han seguido llegando a redes sociales y plataformas en línea, lo que ha llevado a especular que la compañía las podría haber filtrado de alguna manera. Sin embargo, no era probable ya que LastPass no almacena contraseñas maestras en sus servidores y la gestión de la misma se hace localmente.

Un portavoz del gestor ha informado de la situación: «Hemos investigado informes recientes de intentos de inicio de sesión bloqueados y determinamos que la actividad está relacionada con una actividad bastante común relacionada con bots, en la que un actor malintencionado intenta acceder a las cuentas de usuario (en este caso, LastPass) utilizando direcciones de correo electrónico y contraseñas obtenidas de terceros, por infracciones en otros servicios no afiliados«.

Desde LastPass aseguran no tener ninguna indicación de que se haya accedido a las cuentas o que el servicio general haya sido comprometido por una parte no autorizada. En todo caso, hasta que LastPass clarifique por completo la situación, se recomienda cambiar la contraseña maestra aunque no hay sido comprometida y habilitar la autenticación de dos factores para garantizar que ningún elemento externo acceda a las cuentas. Otra posibilidad es usar otro tipo de gestor, como algunos de estos alternativos de código abierto y gratuitos.

Más información en MC