- Emplea un modelo de conocimiento cero con cifrado AES-256, asegurando que la contraseña maestra nunca salga del dispositivo del usuario.
- Sufrió brechas graves en 2022 debido a errores humanos y el uso de equipos personales, resultando en multas millonarias en el Reino Unido.
- Ha implementado mejoras profundas, incluyendo la norma ISO 27701 y una infraestructura en la nube más robusta para evitar nuevos incidentes.
Si estás buscando una forma de no volverte loco con tantas claves, seguramente te hayas topado con LastPass. Este gestor se ha convertido en una de las herramientas más populares para centralizar todo el acceso a nuestras cuentas, desde el correo hasta la banca online, evitando así que tengamos que memorizar combinaciones imposibles o, peor aún, usar la misma para todo.
Pero claro, cuando hablamos de seguridad en internet, siempre hay ruido. LastPass ha pasado por momentos complicados y ha estado en el ojo del huracán debido a algunos agujeros de seguridad, lo que hace que muchos se pregunten si realmente es fiable confiarles el acceso a nuestra vida digital. Vamos a desgranar a fondo cómo funciona y qué ha pasado exactamente.
¿Cómo protege LastPass tus datos?
La base de todo su sistema es lo que llaman el modelo de conocimiento cero. Esto significa, básicamente, que la empresa no tiene ni idea de cuál es tu contraseña maestra. Esta clave solo vive en tu cabeza y se procesa localmente en tu dispositivo, por lo que nunca llega a guardarse en texto plano en sus servidores.
Para que esto sea posible, utilizan un proceso técnico bastante robusto. Emplean el cifrado AES de 256 bits junto con una función de derivación llamada PBKDF2 y un hash seguro (SHA256) con salting. En cristiano: transforman tu contraseña en una clave de cifrado compleja que sirve para cerrar tu bóveda con llave. Cuando intentas entrar, el sistema verifica que el hash generado coincida con el almacenado, asegurando que solo tú puedas descifrar la información.
Herramientas y funciones principales
Más allá de guardar usuarios y claves, este software ofrece un montón de extras que facilitan la vida. Entre sus funciones más destacadas encontramos:
- Generador de claves seguras: crea combinaciones aleatorias basadas en lo que tú quieras (longitud, símbolos, mayúsculas) y las pasa por la biblioteca zxcvbn para asegurar que no sean fáciles de adivinar.
- Relleno automático: se olvida de escribir a mano los datos de formularios, direcciones o tarjetas de crédito.
- Gestión de notas y PINs: permite guardar cualquier registro digital sensible en un entorno cifrado.
- Seguridad reforzada: incluye soporte para autenticación de doble factor (MFA) y acceso mediante biometría como la huella dactilar.
Todo esto está disponible en un ecosistema multiplataforma que abarca desde extensiones para Chrome, Firefox, Edge, Opera y Safari, hasta aplicaciones nativas para Windows, macOS, Android e iOS.
La sombra de los incidentes de seguridad
No todo ha sido color de rosa. Entre 2011 y 2022, la plataforma sufrió varios percances. El más sonado ocurrió a finales de 2022, cuando un atacante logró colarse en el entorno de desarrollo. El problema empezó por un fallo en el ordenador de un empleado en Europa y luego escaló al equipo personal de otro trabajador en Estados Unidos.
Este segundo ataque fue el más crítico porque el empleado tenía acceso a claves de descifrado fundamentales. El hacker utilizó un keylogger para robar la contraseña maestra del trabajador y eludió la autenticación multifactor robando una cookie de confianza. Lo más grave fue que el empleado mezcló sus cuentas personales y profesionales con la misma clave, facilitando el acceso a AWS y a datos de clientes.
Como resultado, se filtraron datos de unos 1,6 millones de usuarios en el Reino Unido, incluyendo nombres, correos y URLs de sitios guardados. Debido a esto, la ICO británica les metió una multa de 1,2 millones de libras por no proteger adecuadamente sus sistemas y permitir el uso de dispositivos personales para tareas críticas.
Medidas adoptadas y situación actual
Tras estos sustos, la compañía se ha puesto las pilas para limpiar su imagen y mejorar su infraestructura. Han migrado a una plataforma en la nube mucho más blindada y han implementado el uso de dispositivos gestionados para evitar que se repitan los errores de los equipos personales.
Además, han reforzado su cumplimiento normativo incorporando la versión 2022 de la ISO 27701 y pasando evaluaciones de IRAP. Ahora cuentan con equipos especializados exclusivamente en inteligencia de amenazas y privacidad, centralizando toda la transparencia en un Centro de Conformidad. A pesar de que algunos investigadores, como Mike Kuketz, alertaron en su día sobre el uso de rastreadores de marketing, la empresa ha seguido evolucionando para minimizar las vulnerabilidades.
A día de hoy, LastPass sigue siendo una opción viable gracias a que el cifrado de las bóvedas se hace en el dispositivo del usuario. Aunque los datos personales pudieron verse comprometidos, las contraseñas reales permanecieron seguras gracias al sistema de conocimiento cero. Para quienes busquen alternativas, existen opciones como 1Password, Bitwarden o NordPass, pero lo fundamental es siempre activar el doble factor y mantener el software actualizado para no dejar la puerta abierta a los ciberdelincuentes.
