LastPass es una aplicación de gestión de contraseñas . [3] La versión estándar de LastPass viene con una interfaz web , pero también incluye complementos para varios navegadores web y aplicaciones para muchos teléfonos inteligentes . También incluye soporte para bookmarklets .
Fundada en 2008 por cuatro desarrolladores, [4] [5] Lastpass fue adquirida por GoTo (anteriormente LogMeIn Inc.) por 110 millones de dólares en 2015. [6] LastPass se escindió de GoTo y se convirtió en una empresa independiente en 2024. [7]
LastPass sufrió importantes incidentes de seguridad entre 2011 y 2022. En particular, a fines de 2022, se vulneraron datos de usuarios, información de facturación y bóvedas (con algunos campos encriptados y otros no) [a] [8] , lo que llevó a muchos profesionales de seguridad a pedir a los usuarios que cambiaran todas sus contraseñas y se pasaran a otros administradores de contraseñas. [9]
El contenido de un usuario en LastPass, incluidas las contraseñas y las notas seguras, está protegido por una contraseña maestra. El contenido se sincroniza con cualquier dispositivo en el que el usuario utilice el software LastPass o las extensiones de la aplicación. La información se cifra con cifrado AES-256 con PBKDF2 SHA-256 , hashes con sal y la capacidad de aumentar el valor de las iteraciones de contraseña. El cifrado y descifrado se realiza a nivel de dispositivo. [10] [11]
LastPass tiene un rellenador de formularios que automatiza la introducción de contraseñas y el llenado de formularios, y admite la generación de contraseñas , el uso compartido y registro de sitios, y la autenticación de dos factores. LastPass admite la autenticación de dos factores a través de varios métodos, incluida la aplicación LastPass Authenticator para teléfonos móviles, así como otros, como YubiKey . [12]
A diferencia de otros administradores de contraseñas importantes, LastPass ofrece una pista de contraseña establecida por el usuario, lo que permite el acceso cuando falta la contraseña maestra. [13]
El 2 de diciembre de 2010, se anunció que LastPass había adquirido Xmarks , una extensión del navegador web que permitía la sincronización de contraseñas entre navegadores. La adquisición significó la supervivencia de Xmarks, que tenía problemas financieros, y aunque los dos servicios permanecieron separados, la adquisición condujo a un precio reducido para las suscripciones premium pagas que combinaban los dos servicios. [14] [15] El 30 de marzo de 2018, se anunció que el servicio Xmarks se cerraría el 1 de mayo de 2018, según un correo electrónico a los usuarios de LastPass. [16]
El 9 de octubre de 2015, GoTo adquirió LastPass por 110 millones de dólares. La empresa se fusionó bajo la marca LastPass con un producto similar, Meldium, que ya había sido adquirido por GoTo. [17] [18]
El 16 de marzo de 2016, LastPass lanzó LastPass Authenticator, una aplicación gratuita de autenticación de dos factores . [19]
El 2 de noviembre de 2016, LastPass anunció que las cuentas gratuitas ahora permitirían sincronizar el contenido del usuario con cualquier dispositivo, una función que antes era exclusiva de las cuentas pagas. Antes, una cuenta gratuita en el servicio significaba que el contenido se sincronizaría con una sola aplicación. [20] [21]
En agosto de 2017, LastPass anunció LastPass Families, un plan familiar para compartir contraseñas, información de cuentas bancarias y otros datos confidenciales entre miembros de la familia por una suscripción anual de $48. También duplicaron el precio de la versión Premium sin agregarle ninguna característica nueva. En cambio, eliminaron algunas características de la versión gratuita. [22]
El 14 de diciembre de 2021, GoTo anunció que LastPass se constituiría como una empresa independiente. [23] La escisión se completó en mayo de 2024, y LastPass pasó a estar controlada directamente por Francisco Partners y Elliott Management , las firmas de capital privado que privatizaron GoTo en 2020. [7] [24]
En marzo de 2009, PC Magazine le otorgó a LastPass cinco estrellas, una calificación de "Excelente" y su "Elección de los editores" por la gestión de contraseñas. [25] Una nueva revisión en 2016 luego del lanzamiento de LastPass 4.0 le otorgó al servicio nuevamente cinco estrellas, una calificación de "Excelente" y el honor de "Elección de los editores". [26]
En julio de 2010, el modelo de seguridad de LastPass fue ampliamente tratado y aprobado por Steve Gibson en el episodio 256 de su podcast Security Now. [27] También revisó el tema y su relación con la Agencia de Seguridad Nacional en el episodio 421 del podcast Security Now. [28]
En octubre de 2015, cuando GoTo adquirió LastPass, el blog del fundador Joe Siegrist se llenó de comentarios de usuarios que expresaban críticas a GoTo. [29] Los sitios web ZDNet, Forbes e Infoworld publicaron artículos que mencionaban la protesta de los clientes existentes, algunos de los cuales dijeron que se negarían a hacer negocios con GoTo y plantearon otras preocupaciones sobre la reputación de GoTo. [30] [31] [32]
En un artículo de Consumer Reports de 2017 se comentó que LastPass es un administrador de contraseñas popular (junto con Dashlane , KeePass y 1Password ), y que la elección entre ellos depende principalmente de las preferencias personales. [13] En marzo de 2019, Lastpass recibió el premio al Mejor producto en gestión de identidad durante la séptima edición anual de los premios InfoSec de la revista Cyber Defense. [33]
El lunes 15 de junio de 2015, LastPass publicó una entrada en su blog indicando que el equipo de LastPass había descubierto y detenido una actividad sospechosa en su red el viernes anterior. Su investigación reveló que las direcciones de correo electrónico de las cuentas de LastPass, los recordatorios de contraseñas, los valores de sal por usuario del servidor y los hashes de autenticación estaban comprometidos; sin embargo, los datos cifrados de la bóveda de usuarios no se habían visto afectados. [34]
En 2021, se descubrió que la aplicación de Android contenía rastreadores de terceros . [35] Además, a fines de 2021, un artículo en el sitio BleepingComputer informó que se advirtió a los usuarios de LastPass que sus contraseñas maestras estaban comprometidas. [36]
En agosto de 2022, un pirata informático robó una copia de una base de datos de clientes y algunas copias de las bóvedas de contraseñas de los clientes. La información robada incluye nombres, direcciones de correo electrónico, direcciones de facturación, tarjetas de crédito parciales y URL de sitios web. [37] Algunos de los datos de las bóvedas no estaban cifrados, mientras que otros estaban cifrados con las contraseñas maestras de los usuarios. La seguridad de los datos cifrados de cada usuario depende de la solidez de la contraseña maestra del usuario, de si la contraseña se había filtrado previamente y de la cantidad de rondas de cifrado utilizadas. Se robaron detalles de la cantidad de rondas de cada cliente. Algunas bóvedas de clientes eran más vulnerables al descifrado que otras. [38] [39]
En noviembre de 2022, LastPass aseguró a los usuarios que las contraseñas almacenadas con el servicio seguían siendo seguras. [40]
Los datos de los clientes incluían sus nombres, direcciones de facturación, números de teléfono, direcciones de correo electrónico, direcciones IP y números parciales de tarjetas de crédito, así como el número de rondas de cifrado utilizadas, semillas MFA e identificadores de dispositivos. [38] Los datos de la bóveda incluían, para cada usuario violado, URL de sitios web no cifrados [b] [8] y nombres de sitios, y nombres de usuario, contraseñas y datos de formularios cifrados para esos sitios. [38]
El actor de amenazas primero obtuvo acceso no autorizado a partes de su entorno de desarrollo, código fuente e información técnica a través de la computadora portátil de un solo desarrollador comprometido. [41] LastPass respondió reconstruyendo su entorno de desarrollo y rotando certificados. [42] El actor, sin embargo, utilizó la información para atacar y piratear la computadora de un ingeniero senior de DevOps , [42] y utilizó un registrador de teclas para obtener la contraseña maestra de ese ingeniero. Luego, el actor obtuvo acceso a una bóveda corporativa encriptada, que era compartida entre solo cuatro ingenieros. Esa bóveda contenía claves para los depósitos S3 de las copias de seguridad de los archivos de los clientes. [43] El actor obtuvo la base de datos de usuarios del 14 de agosto de 2022 y varias copias de seguridad de la bóveda de contraseñas tomadas entre el 20 de agosto y el 16 de septiembre de 2022. [44]
Los comentaristas expresaron su preocupación por el hecho de que si la contraseña maestra de un usuario era débil o se filtraba, [38] las partes cifradas de los datos del cliente podrían descifrarse . [45] Inicialmente, LastPass afirmó que no era necesaria ninguna acción para la mayoría de sus clientes, [46] pero otras fuentes recomendaron cambiar todas las contraseñas y estar alerta ante posibles ataques de phishing . [38] [47]
A principios de 2023 se inició una demanda colectiva en la que el demandante anónimo afirmaba que LastPass no mantenía segura la información de los usuarios. [48] Un motivo de especial preocupación en la demanda era el mayor riesgo de que los datos se utilizaran en ataques de phishing . [48]
En septiembre de 2023, se estableció un vínculo potencial entre el robo de datos de 2022 y un total de más de 35 millones de dólares en criptomonedas que habían sido robadas a más de 150 víctimas desde diciembre de 2022. El vínculo se estableció debido al hecho de que casi todas las víctimas eran usuarios de LastPass. [49] [50]
{{cite web}}: CS1 maint: unfit URL (link)