El regulador británico de protección de datos, la Information Commissioner’s Office (ICO), ha impuesto una multa de 1,2 millones de libras a LastPass UK Ltd tras concluir que la compañía no aplicó medidas de seguridad técnicas y organizativas adecuadas para proteger la información personal de sus clientes. La sanción llega más de dos años después de una brecha de datos ocurrida en agosto de 2022, que comprometió la información personal de hasta 1,6 millones de personas en el Reino Unido.
El caso ha vuelto a poner en el centro del debate la seguridad de los gestores de contraseñas, herramientas ampliamente recomendadas por expertos en ciberseguridad, pero que, como demuestra este incidente, no están exentas de riesgos si los controles internos fallan.
Qué ocurrió en la brecha de seguridad de LastPass
Según la investigación del ICO, el ataque no fue el resultado de un único fallo, sino de dos incidentes separados que, combinados, permitieron a un atacante acceder de forma no autorizada a la base de datos de copias de seguridad de LastPass.
La información robada incluía nombres de clientes, direcciones de correo electrónico, números de teléfono y URLs de sitios web almacenados en los cofres digitales. Aunque no se accedió directamente a las contraseñas, la exposición de estos datos personales supone un riesgo significativo de phishing, suplantación de identidad y ataques dirigidos.
El regulador subrayó que, si bien la arquitectura de cifrado de LastPass evitó consecuencias aún más graves, la brecha evidenció deficiencias críticas en la gestión de accesos y en la protección de credenciales sensibles.
El primer incidente: un portátil corporativo comprometido
El primer punto de entrada para el atacante se produjo cuando se vio comprometido el portátil corporativo de un empleado de LastPass en Europa. A través de este dispositivo, el hacker logró acceder al entorno de desarrollo de la compañía y obtener credenciales corporativas cifradas.
En esta fase inicial, no se produjo la exfiltración directa de datos personales de clientes. Sin embargo, las credenciales robadas tenían el potencial de permitir el acceso a la base de datos de copias de seguridad si llegaban a ser descifradas.
LastPass aseguró haber detectado y mitigado la actividad maliciosa, confiando en que las claves de descifrado permanecían seguras, ya que no se encontraban en el entorno comprometido, sino almacenadas en los cofres digitales de cuatro empleados sénior.
El segundo incidente: el eslabón más débil estaba fuera de la empresa
El ataque dio un giro decisivo al día siguiente, cuando el mismo actor malicioso dirigió sus esfuerzos contra uno de esos empleados sénior, que tenía acceso a las claves de descifrado críticas.
En este segundo incidente, el hacker explotó una vulnerabilidad conocida en un servicio de streaming de terceros instalado en el dispositivo personal del empleado. A través de esta brecha, logró instalar un keylogger, un tipo de malware diseñado para registrar las pulsaciones del teclado.
El programa malicioso capturó la contraseña maestra del empleado, y el atacante consiguió además eludir la autenticación multifactor utilizando una cookie de dispositivo de confianza. Este detalle fue clave: permitió el acceso tanto al cofre personal como al cofre corporativo de LastPass, que estaban protegidos por una única contraseña maestra.
Desde ese punto, el atacante obtuvo una clave de acceso a Amazon Web Services (AWS) y la clave de descifrado almacenadas en el cofre corporativo. Combinando esta información con los datos obtenidos en el primer incidente, pudo finalmente extraer la base de datos de copias de seguridad que contenía información personal de clientes.
La posición del ICO y la multa a LastPass
Tras analizar el caso, el ICO concluyó que LastPass no aplicó medidas de seguridad suficientemente robustas, especialmente en lo relativo a la gestión de accesos privilegiados, la segmentación de sistemas y la protección frente a ataques a dispositivos personales de empleados.
John Edwards, comisionado de información del Reino Unido, defendió la sanción señalando que los usuarios tenían derecho a confiar en que su información estaría protegida:
“Los gestores de contraseñas son una herramienta segura y eficaz para que empresas y ciudadanos gestionen sus múltiples credenciales, y seguimos fomentando su uso. Sin embargo, este incidente demuestra que las empresas que ofrecen estos servicios deben restringir el acceso a los sistemas para reducir los riesgos de ataque. Los clientes de LastPass tenían derecho a esperar que su información personal se mantuviera segura, y la empresa no cumplió con esa expectativa”.
La multa de 1,2 millones de libras fue calificada por el regulador como proporcionada, teniendo en cuenta tanto el volumen de afectados como la naturaleza de los fallos detectados.
