La bóveda resistió. Ese nunca fue el camino de entrada.

LastPass ha sufrido una brecha de nuevo este mes. Lo que todos esperaban no ocurrió. Ninguna bóveda fue descifrada. Ninguna contraseña maestra cayó. Los secretos cifrados permanecieron intactos. LastPass confirmó que sus "productos, servicios e infraestructura no se vieron afectados" y que las bóvedas de los clientes "permanecieron seguras". [1]

Los atacantes no se acercaron nunca a la bóveda. Entraron a través de un proveedor.

Esta es la cadena, porque el mecanismo es todo el punto. El 11 de junio, un grupo que se hace llamar Icarus accedió a Klue, una plataforma de inteligencia de mercado que @LastPass utilizaba internamente. Su forma de entrada, según @HuntressLabs, que trabajó en el incidente: "una credencial de API muy antigua, creada originalmente para un prototipo de integración con terceros que había sido abandonado". [2] Una clave creada para un proyecto que ya no existía, para un fin que nadie recordaba, todavía activa. Desde dentro de Klue introdujeron código malicioso que cosechó los tokens OAuth que Klue guardaba para sus clientes: las autorizaciones permanentes que le permitían leer @salesforce, Slack, HubSpot y más en nombre de esas empresas. Uno de esos tokens era el de LastPass. Con él, los atacantes leyeron el CRM de Salesforce de LastPass. Nombres, correos electrónicos, números de teléfono, direcciones, contenido de los casos de soporte. Después llegó la nota de extorsión. Pague, o pasa al sitio de filtraciones.

LastPass no fue el único afectado por el impacto. Huntress, Recorded Future, Tanium, Jamf, BeyondTrust. Empresas de seguridad, la mayoría. El tipo de empresas que se dedican a esto.

Reconozcamos, por tanto, lo que hay que reconocer. La criptografía de LastPass hizo exactamente lo que prometió. La bóveda no es la historia. La historia es una clase de secreto que casi nadie trata como tal: el token de larga duración que reside dentro de una integración SaaS que usted aprobó una vez y que nunca más volvió a mirar. No caduca. No sabe que ha sido robado. Concede mucho más de lo que justificó su creación, y sigue concediéndolo, en silencio, hasta que alguien recuerda ir a desactivarlo. Normalmente nadie lo hace.

Ese es el cambio. El modelo de amenaza pasó de "¿pueden descifrar la bóveda?" a "¿cuántas llaves olvidadas siguen puestas en puertas que dejó de vigilar?". Una credencial muerta de un prototipo abandonado bastó para llegar a los datos de clientes de toda una serie de empresas. Las matemáticas nunca fueron el punto débil. La proliferación, sí.

Este es exactamente el tipo de fallo que una credencial debería estar construida para rechazar. Un secreto que Clavitor emite es de corta duración y de ámbito limitado. Se intermedia para una sola operación, caduca por sí mismo, y está vinculado y atribuido a la máquina que lo utilizó. Un token así no puede convertirse en lo que causó el daño en este caso: una autorización olvidada, cosechada mucho tiempo después de que alguien recordara que existía, reproducida desde la infraestructura de un tercero sin nada que la vincule a un actor. Desaparece antes de que pueda ser encontrada, y nunca llegó más allá de su única tarea.

Hay un límite que conviene exponer con claridad. Clavitor gobierna las credenciales que posee, no la autorización OAuth permanente que usted entregó a la plataforma de un proveedor. Ese token vive en su sistema, bajo sus controles, y ninguna bóveda llega hasta allí para caducarlo en su lugar. Lo que cambia es todo lo que corresponde a Clavitor. Se niega a ser el lugar donde un secreto que nunca caduca pueda permanecer en silencio. La disciplina cuya ausencia abrió Klue (vida útil corta, ámbito estricto, atribución real) es aquí el comportamiento por defecto, no un ajuste que alguien debía acordarse de activar.

La pregunta que queda es incómoda. ¿Cuántos tokens activos residen en proveedores que incorporó hace un año y desde entonces no ha vuelto a considerar?

Hemos redactado el pequeño conjunto de propiedades que una credencial debe reunir antes de confiarle algo. [3]

Clavitor (@clavitorai) es la bóveda de credenciales construida para agentes de IA, y contra ellos. clavitor.ai

Fuentes

[1] BleepingComputer, "LastPass confirms data breach in Klue supply chain attack" — @BleepinComputer

[2] Hallazgos del incidente de Huntress, recogidos por Help Net Security, "Klue breach lead to Salesforce data theft, Huntress affected" — @HuntressLabs, @helpnetsecurity

[3] The Ten Rules of Credential Management (artículo nativo de X) — @clavitorai