LastPass relata incidente de supply chain na Klue e detalha resposta

A LastPass sofreu um ataque indireto por meio de um fornecedor terceirizado, a Klue, que tinha acesso OAuth aos sistemas de CRM da empresa no Salesforce. O invasor não chegou aos cofres de senhas nem ao sistema Gong, mas obteve dados de contato e informações de vendas de clientes, tipo de dado que serve como base para ataques de engenharia social direcionados. Esse cenário ilustra como a cadeia de suprimentos digitais se tornou o ponto mais frágil: mesmo com infraestrutura interna imune, uma única conexão mal protegida em um parceiro pode expor milhares de registros.

A resposta da LastPass foi técnica e ágil: rotação imediata dos tokens OAuth, suspensão do acesso dos funcionários à Klue e compartilhamento ativo de indicadores de comprometimento com a comunidade de segurança. Isso mostra maturidade em gestão de risco externo, mas também expõe uma realidade comum: empresas confiam em integrações de terceiros sem verificar profundamente a segurança dos tokens de acesso. A proteção de dados não termina no firewall da sua empresa.

Essa falha não afetou a segurança dos cofres da LastPass, mas expôs dados que são mais valiosos para atacantes do que senhas em muitos casos: nomes, e-mails, números de telefone e históricos de suporte. Com essas informações, criminosos montam campanhas de phishing altamente personalizadas, disfarçadas de comunicações oficiais da LastPass. Clientes que confiam na marca podem cair em armadilhas que parecem legítimas, e isso é exatamente o que a empresa alerta ao pedir cautela com contatos não solicitados. A lição é clara: quando sua empresa usa SaaS externos, ela não só contrata um serviço, mas também assume o risco da segurança dele.