Más detalles sobre el reciente ataque de LastPass indican que podría haberse evitado, ¡si el ingeniero senior de LastPass hubiera actualizado su aplicación Plex hace años!
¡Se revela que el sistema de la persona comprometida (un empleado de LastPass) donde el pirata informático entró, es el resultado de la explotación de errores en la aplicación Plex de la computadora de la casa de la víctima! Un parche para esto ha estado disponible durante años, pero el usuario no lo aplicó, ¡lo que provocó una infracción!
Un empleado perezoso es la causa
De ser uno de los mejores administradores de contraseñas que existen a un servicio infame en solo un año, el destino de LastPass rápidamente resultó ser el peor desde el año pasado. La empresa sufrió dos filtraciones de datos (1, 2), siendo la última más tonta que nunca.
Según los informes, el pirata informático, en este caso, comprometió la cuenta corporativa de un ingeniero senior de LastPass, lo que provocó que el actor de la amenaza se moviera a través de la red de la empresa y robara sus datos. Ahora se han recibido más detalles sobre este caso, que revelan que la irresponsabilidad del ingeniero en cuestión causó el daño real.
Fue reportado que el pirata informático había comprometido la cuenta de LastPass del ingeniero a través de un software Plex vulnerable, que la víctima había estado usando en su computadora personal. El pirata informático pudo explotar un error en la aplicación de escritorio Plex e instalar un registrador de teclas en la computadora de la víctima.
Después de obtener sus credenciales para la cuenta corporativa de LastPass (¡sí, LastPass le permitió a este ingeniero senior acceder a su red a través de una computadora en casa!), el hacker irrumpió en la red de LastPass y robó los datos.
Plex reveló que el exploit en cuestión era revelado el 7 de mayo de 2020, y la compañía lanzó un parche ese mismo día. Sin embargo, el empleado no lo ha reparado, ¡durante tres años! Plex afirma haber lanzado alrededor de 75 versiones después de eso, ¡donde este ingeniero de LastPass las ignoró todas!
Si hubiera actualizado la aplicación antes, LastPass no habría sufrido este vergonzoso incidente.
