A LastPass, gerenciador de senhas da empresa que leva o mesmo nome, confirmou agora uma nova violação de dados, ocorrida em junho de 2026. De acordo com a própria companhia, o problema nasceu de um ataque de cadeia de suprimentos envolvendo a Klue, plataforma de inteligência de mercado usada por ela e conectada aos seus ambientes no Salesforce e no Gong.
No relato divulgado pela empresa, os invasores primeiro comprometeram a Klue, depois roubaram tokens OAuth mantidos pela fornecedora para diferentes clientes e, com essas credenciais em mãos, conseguiram entrar em sistemas da LastPass para extrair dados. O alívio, desta vez, é outro: a empresa diz que cofres de senhas, senhas propriamente ditas e senhas-mestras não foram expostos.
Entre as informações que podem ter sido afetadas com mais chance, a LastPass cita nomes de clientes, números de telefone, endereços de e-mail, endereços físicos e postais, dados de casos de suporte e registros ligados a vendas ou ao CRM.
Para quem usa o serviço, o risco mais imediato não parece ser o acesso direto às contas guardadas no gerenciador de senhas. O problema está mais no que pode vir depois: uso dessas informações em campanhas de phishing e golpes de engenharia social. No aviso enviado aos clientes, a LastPass pediu atenção redobrada a mensagens, ligações e e-mails que pareçam partir da própria empresa, porque criminosos podem se apoiar nos dados roubados para tornar abordagens fraudulentas mais convincentes.
O quadro descrito pela LastPass é o tipo clássico de ataque à cadeia de suprimentos. O alvo não foi a empresa de forma direta; o caminho passou por um terceiro que já tinha integração com seus sistemas. Neste caso, a Klue mantinha tokens que permitiam conexão com ambientes de clientes e, segundo a LastPass, foram justamente esses tokens que abriram a porta para o Salesforce da companhia e para a exfiltração das informações.
Na resposta ao incidente, a LastPass afirma que abriu uma investigação, revogou os tokens comprometidos e desativou ou encerrou o acesso de funcionários à Klue, enquanto tenta medir o tamanho real do problema. Relatos sobre a invasão à Klue apontam um ator conhecido como “Icarus” como responsável pelo ataque. Esses mesmos relatos dizem que o caso não ficou restrito à LastPass: outras organizações também teriam sido atingidas, entre elas Recorded Future, Tanium, Jamf, Sprout Social, Gong e Insurity. Isso dá uma ideia do alcance que a campanha pode ter tido.
Para quem usa a plataforma, a recomendação mais prática agora é simples: desconfiar ainda mais de comunicações não solicitadas. E-mails pedindo redefinição de conta, contatos que mencionem chamados de suporte reais ou mensagens com dados pessoais corretos pedem cuidado extra. Vale checar o remetente com calma, não clicar em links recebidos por e-mail e entrar na LastPass digitando o endereço manualmente no navegador.
Mesmo sendo menos grave do que um vazamento de cofres, esse novo incidente volta a colocar a segurança da LastPass sob suspeita. A razão é conhecida. A empresa ainda carrega o desgaste do grande ataque de 2022, confirmado por ela na época, que terminou com o roubo de backups de cofres de clientes e foi seguido por relatos de cofres descriptografados e perdas de criptomoedas. Depois daquele episódio, a companhia ainda enfrentou uma multa de 1,23 milhão aplicada pelo Information Commissioner’s Office (ICO) em 2025, além de um acordo coletivo de 24,5 milhões.
Desta vez, as senhas não foram expostas. Ainda assim, a nova violação aumenta a lista de incidentes de segurança associados à marca e dá aos clientes mais um motivo para tratar com desconfiança qualquer contato inesperado que apareça usando o nome da LastPass.
