LastPass dice que no filtró la contraseña maestra, pero mejor cámbiala y habilita 2FA

LastPass es uno de los gestores de contraseñas más usados de la industria. Los últimos días, grupos de usuarios han informado que sus contraseñas maestras se habían visto comprometidas (supuestamente) después de recibir advertencias por correo electrónico de que alguien ha intentado usarlas para iniciar sesión en sus cuentas desde ubicaciones desconocidas.

Las notificaciones por correo electrónico también mencionan que los intentos de inicio de sesión se había bloqueado porque se realizaron desde ubicaciones desconocidas en todo el mundo. «Alguien acaba de usar su contraseña maestra para intentar iniciar sesión en su cuenta desde un dispositivo o ubicación que no reconocimos«, advierten las alertas de inicio de sesión. «LastPass bloqueó este intento, pero debería mirar más de cerca. ¿Era usted?«

Los informes de supuestas contraseñas maestras de LastPass comprometidas han seguido llegando a redes sociales y plataformas en línea, lo que ha llevado a especular que la compañía las podría haber filtrado de alguna manera. Sin embargo, no era probable ya que LastPass no almacena contraseñas maestras en sus servidores y la gestión de la misma se hace localmente.

¿Qué está ocurriendo con LastPass?

Un portavoz del gestor ha informado de la situación: «Hemos investigado informes recientes de intentos de inicio de sesión bloqueados y determinamos que la actividad está relacionada con una actividad bastante común relacionada con bots, en la que un actor malintencionado intenta acceder a las cuentas de usuario (en este caso, LastPass) utilizando direcciones de correo electrónico y contraseñas obtenidas de terceros, por infracciones en otros servicios no afiliados«. Desde LastPass aseguran no tener ninguna indicación de que se haya accedido a las cuentas o que el servicio general haya sido comprometido por una parte no autorizada.

Todo apunta que los usuarios afectados pueden haber sido víctimas de un keylogger u otra forma de ataque de terceros. Su información también podría haberse filtrado en un ataque no relacionado en el que están usando la misma dirección de correo electrónico y contraseña.

Sin embargo, algunos usuarios dicen que las contraseñas usadas son exclusivas de LastPass y no las han utilizado en ningún otro lugar. Además, algunos que han intentado cambiar la contraseña han vuelto a recibir la misma alerta.

Hasta que LastPass clarifique por completo la situación, se recomienda cambiar la contraseña maestra aunque no hay sido comprometida y habilitar la autenticación de dos factores para garantizar que ningún elemento externo acceda a las cuentas. Otra posibilidad es usar otro tipo de gestor, como algunos de estos alternativos de código abierto y gratuitos.