El impacto de los terceros en la seguridad corporativa: el caso LastPass
LastPass, el reconocido gestor de contraseñas, ha confirmado recientemente una brecha de datos que afectó a su entorno de Salesforce. El incidente no se originó en sus propios sistemas, sino a través de un ataque de cadena de suministro dirigido a Klue, una plataforma de inteligencia de mercado utilizada por sus equipos comerciales.
¿Cómo ocurrió el ataque? El papel de los tokens OAuth
Según el informe oficial, los atacantes (vinculados al grupo de extorsión Icarus) lograron comprometer la infraestructura de Klue utilizando credenciales heredadas. Una vez dentro, sustrajeron los tokens OAuth de varios clientes de Klue, entre ellos LastPass.
En términos técnicos, un token OAuth actúa como una ‘llave digital’ que permite que dos aplicaciones se comuniquen y compartan información sin necesidad de intercambiar contraseñas reales. Al obtener estos tokens, los atacantes pudieron acceder de forma no autorizada a los datos de clientes alojados en el entorno de Salesforce de LastPass.
Datos comprometidos y alcance del incidente
Es fundamental destacar que la infraestructura principal de LastPass, sus servicios y, lo más importante, las bóvedas de contraseñas de los usuarios no se vieron afectados. Sin embargo, la información filtrada del sistema CRM incluye:
- Nombres de clientes.
- Números de teléfono y direcciones de correo electrónico.
- Direcciones físicas.
- Información de casos de soporte técnico.
- Datos relacionados con ventas y gestión de clientes (CRM).
Implicaciones para la seguridad empresarial
Este incidente subraya una vulnerabilidad crítica en el ecosistema empresarial moderno: la dependencia de terceros. Aunque una organización mantenga estándares de seguridad internos robustos, su superficie de ataque se extiende a cada proveedor que tenga acceso a sus datos mediante integraciones de API o tokens de acceso.
El grupo Icarus ya ha utilizado esta técnica contra otras firmas de renombre como Recorded Future, Tanium y Jamf, lo que demuestra una tendencia creciente hacia ataques dirigidos a proveedores de servicios de software (SaaS) para alcanzar objetivos de alto valor.
Recomendaciones de Intedya para las organizaciones
Desde el área de ciberseguridad de Intedya, recomendamos a las empresas y usuarios de LastPass extremar las precauciones ante posibles campañas de ingeniería social. Los datos filtrados son el combustible perfecto para ataques de phishing altamente personalizados.
- Desconfíe de comunicaciones no solicitadas: Sea cauteloso con correos o llamadas que soliciten detalles sensibles, incluso si parecen provenir de canales oficiales.
- Gestión de proveedores: Evalúe periódicamente la postura de seguridad de sus proveedores de software y limite los permisos de los tokens OAuth al mínimo estrictamente necesario.
- Rotación de credenciales: Como medida preventiva, LastPass ya ha rotado los tokens expuestos y deshabilitado el acceso de sus empleados a Klue mientras concluye la investigación.
La seguridad de la información es un proceso continuo que requiere vigilancia no solo sobre nuestros propios sistemas, sino sobre toda nuestra cadena de valor.
Fuentes
- Bleeping Computer — LastPass confirms data breach in Klue supply chain attack
https://www.bleepingcomputer.com/news/security/lastpass-confirms-data-breach-in-klue-supply-chain-attack/