A LastPass sofreu mais uma violação de dados. Os cibercriminosos exploraram uma vulnerabilidade na Klue, um fornecedor de serviços da empresa, para aceder a informações dos clientes sobre o gestor de palavras-passe. Os cofres e as próprias palavras-passe permanecem seguros.
LastPass cai nas mãos dos hackers
A LastPass foi novamente alvo de hackers. A 12 de junho de 2026, o gestor de palavras-passe foi informado sobre um incidente de segurança num dos seus fornecedores de serviços. O incidente envolveu a Klue, uma plataforma de business intelligence utilizada pelas equipas de marketing e vendas da LastPass. Integrada na LastPass, a plataforma forneceu um ponto de entrada na infraestrutura para os cibercriminosos.
Após uma investigação, a LastPass descobriu que os hackers tinham obtido tokens de autenticação mantidos pela Klue em nome de vários dos seus clientes, incluindo a própria Klue. Utilizando estas chaves de acesso temporárias, os hackers conseguiram ligar-se ao ambiente Salesforce da LastPass. Rapidamente encontraram dados de clientes nos servidores.
Entre os dados exfiltrados estavam informações de contacto profissional, incluindo nomes de clientes, números de telefone, endereços de e-mail e endereços postais. Há ainda dados de registos de apoio ao cliente e interações comerciais. Os cofres dos utilizadores, com todas as suas palavras-passe, não foram comprometidos. A LastPass sublinha que os seus produtos, serviços e infraestruturas não foram afetados.
Roubados dados de clientes
Nnotificou os clientes afetados por e-mail. Simultaneamente, foi publicado um comunicado detalhado no site oficial da empresa. Afirmou que bloqueou o acesso de todos os seus funcionários ao Klue e alternou os tokens assim que o incidente foi detetado. A LastPass iniciou então uma investigação minuciosa em colaboração com a Klue e a Salesforce. A empresa também notificou as autoridades competentes.
Os dados roubados são menos críticos do que as palavras-passe, mas ainda assim não são inofensivos. Ao explorar as informações roubadas, os criminosos podem criar campanhas de phishing direcionadas ou tentativas de roubo de identidade. A LastPass lembra os utilizadores que nenhum funcionário solicitará alguma vez a sua palavra-passe mestra. Ao receber uma chamada, e-mail ou mensagem sobre isso, provavelmente é um esquema.
A LastPass aconselha os seus clientes a manterem-se vigilantes. A empresa já tinha sido alvo de criminosos nos últimos anos. Em agosto de 2022, os hackers comprometeram o ambiente de desenvolvimento do LastPass e roubaram o código-fonte. Poucos meses depois, estes mesmos atacantes usaram o acesso recuperado para invadir um serviço de armazenamento na nuvem e roubar cópias de segurança de cofres encriptados.