LastPass diz que alertas de segurança foram enviados por engano

LastPass tem lidado com uma situação bastante infeliz. Alguns usuários receberam alertas de que indivíduos não autorizados estavam acessando sua conta LastPass com sua senha mestra. Acontece que esses alertas foram enviados por engano, de acordo com um comunicado da empresa.

Nós cobrimos pela primeira vez esses alertas LastPass ontem , e LastPass disse que era provavelmente um vazamento de terceiros que causou acesso não autorizado. Após uma investigação mais aprofundada, no entanto, a empresa descobriu que os avisos foram enviados aos usuários por engano.

Recebemos um e-mail do LastPass explicando a situação. Dan DeMichele, VP de Gerenciamento de Produto, LastPass, detalhou o que aconteceu:

Como afirmado anteriormente, o LastPass está ciente e tem investigado relatos recentes de usuários que recebem e-mails alertando-os sobre tentativas de login bloqueadas.

Trabalhamos rapidamente para investigar essa atividade e, no momento, não temos nenhuma indicação de que qualquer conta LastPass tenha sido comprometida por um terceiro não autorizado como resultado desse enchimento de credenciais, nem encontramos qualquer indicação de que as credenciais LastPass do usuário foram coletadas por malware, extensões de navegador desonestos ou campanhas de phishing.

No entanto, por muita cautela, continuamos a investigar em um esforço para determinar o que estava fazendo com que os e-mails de alerta de segurança automatizados fossem disparados de nossos sistemas.

Nossa investigação descobriu que alguns desses alertas de segurança, enviados a um subconjunto limitado de usuários do LastPass, provavelmente foram disparados por engano. Como resultado, ajustamos nossos sistemas de alerta de segurança e esse problema já foi resolvido.

Esses alertas foram acionados devido aos esforços contínuos da LastPass para defender seus clientes de agentes mal-intencionados e tentativas de enchimento de credenciais. Também é importante reiterar que o modelo de segurança de conhecimento zero do LastPass significa que em nenhum momento o LastPass armazena, tem conhecimento ou tem acesso à (s) senha (s) mestra (s) de um usuário.

Continuaremos monitorando regularmente para atividades incomuns ou maliciosas e, conforme necessário, continuaremos a tomar medidas destinadas a garantir que o LastPass, seus usuários e seus dados permaneçam protegidos e seguros.

É um erro lamentável, mas pelo menos os usuários do LastPass podem ficar tranquilos sabendo que suas contas estão seguras e que um simples erro os fez receber o erro. Ainda assim, pode ser uma boa ideia configurar a autenticação de dois fatores apenas por segurança.