¿Deberías temer por tus Password? Acaban de robar el código fuente de LastPass… y muchos usuarios ya comienzan a cambiar de gestor de contraseñas

La noche del jueves, el CEO de LastPass Karim Toubba, reconoció en un comunicado que unos piratas informáticos hackearon el programa de administración de contraseñas. El gestor funciona como extensión en los principales navegadores y por su experiencia, se ha convertido en una referencia para los expertos de todo el mundo debido a la seguridad de los servicios que prestan.

No es la primera vez que a la compañía le hackean el servidor. En el 2015 comunicaron que detectaron actividad sospechosa en la red y después confirmaron que los atacantes tuvieron acceso a cierta información personal de los usuarios. Esa es una de las razones por las que los expertos recomiendan con frecuencia tener activado el sistema de autenticación de dos factores.

Roban el código fuente de LastPass

El comunicado oficial de LastPass explica el reciente incidente de seguridad que ocurrió hace dos semanas. Aseguran que iniciaron una investigación inmediata, en la que descubrieron que usuarios no autorizados tuvieron acceso al código fuente y tomaron cierta información técnica.

Expresan que siguen con el examen del sistema, para lo cual cuentan con los servicios de una firma externa de ciberseguridad y análisis forense.

Así mismo, los directivos transmiten confianza a sus clientes al indicar que implementan medidas de seguridad adicionales, que impidan se vulnere de nuevo la herramienta.

En el comunicado se encuentran una serie de preguntas frecuentes que está abierta al público para despejar las dudas y temores que surgen después de estos inconvenientes.

LastPass presta un servicio que permite a cualquier usuario almacenar las contraseñas de diferentes sitios que usa, para en futuras oportunidades acceder a ellos desde el navegador sin escribirlas de nuevo.

Cada registrado lo que necesita es tener una clave maestra que le dé acceso a sus archivos. Hasta la fecha, 33 millones de personas utilizan esta aplicación en todo el mundo.

El analista de seguridad Allan Liskaes, respondió a una consulta sobre el tema y dijo que descubrir estos fallos lleva mucho tiempo, ya que los equipos deben evaluar bien la situación antes de informar al público. Piensa que el daño completo tardará semanas o meses en determinarse, aunque la evidencia parece indicar que no resultaron afectados los usuarios finales.

¿Corren riesgo los usuarios de que accedan a sus contraseñas?

La compañía dice en el comunicado que las claves no fueron interceptadas por los hackers, esto porque se emplea un método llamado Zero Knoledge, que impide que las contraseñas vayan al sistema central.

Es decir, al momento que un usuario guarda la clave, esta se almacena en su cuenta personal, no en los servidores de LastPass. Aseguran que todos los servicios funcionan con total normalidad, lo que incluye las 100.000 direcciones pagas, aparte de las gratuitas, que son las que la mayoría de los usuarios crean en la plataforma.

Sin embargo, la preocupación que expresan los expertos es que esa información que tomaron los piratas se use para explotar alguna vulnerabilidad en el sistema.

Al parecer, este no debe ser un motivo de preocupación, ya que la compañía ratifica su “conocimiento cero” sobre la contraseña maestra que genera cada afiliado. Por ello, piensan que no es necesario que realicen un cambio de emergencia a sus claves, acción que sí solicitaron en el 2015.

Esto deja en evidencia que por más medidas de seguridad que se tomen, todos son vulnerables a sufrir un robo de información.

¿Cuáles son las medidas a tomar cuando ocurren incidentes como estos? En las recomendaciones que se leen en el portal de LastPass, hay pasos claves que todos deben dar.

Lo primero es tener descargada la última versión de la aplicación, sin importar que se use en el móvil o en el ordenador. Lo segundo, utilizar una contraseña maestra que sea única; estos indican que en la medida de lo posible lo mejor es no repetir una que esté activa en otro servicio. Además, debe cumplir con los estándares mínimos de seguridad.

En tercer lugar, es recomendable activar la autenticación en dos pasos, para lo cual existe la opción de descargar una aplicación dedicada a ello que se consigue en las tiendas de herramientas. En ese instante, es conveniente que los dispositivos en uso estén emparejados con la cuenta, para evitar que se inicie sesión desde uno desconocido.

Por último, es bueno actualizar las contraseñas con cierta frecuencia. Además, colocarles un tiempo de vigencia a los dispositivos, en caso de que tengas que dejarlos en un lugar o no sea de tu uso exclusivo.

Así, con estas medidas llevarás tu seguridad individual o profesional a un nivel elevado y será menos probable que terceros accedan a tu información personal.

En los foros se leen opiniones de los más radicales, quienes invitan a buscar una alternativa de código abierto para disminuir al máximo estos incidentes.

Sin embargo, hay que recordar que en la medida que una aplicación tiene mayor aceptación, es cuando los piratas informáticos crean nuevas formas de atacar y comprometer su información.