LastPass ha admitido hoy una nueva brecha de seguridad que, según la propia empresa, pudo dejar al descubierto datos personales y de atención al cliente.
Por lo que ha contado LastPass, todo encaja dentro de un ataque a la cadena de suministro detectado en junio de 2026. El punto de entrada no estuvo en la infraestructura principal de la compañía, sino en Klue, una plataforma externa de inteligencia de mercado conectada con sus sistemas de Salesforce y Gong.
La empresa sostiene que los atacantes lograron hacerse con tokens OAuth almacenados por Klue y que, a partir de ahí, entraron en el entorno de Salesforce de LastPass. No les habría hecho falta comprometer de forma directa la infraestructura donde LastPass guarda las contraseñas de sus clientes.
Traducido a la práctica, ese acceso habría servido para extraer información de clientes y datos comerciales ligados al CRM y a los canales de soporte, siempre según la versión de LastPass.
Entre los datos potencialmente afectados figuran nombres, números de teléfono, direcciones de correo electrónico, direcciones postales o físicas, detalles sobre incidencias de soporte y otra información relacionada con ventas y atención al cliente.
Eso sí, LastPass repite que las bóvedas de contraseñas y las contraseñas maestras no se vieron comprometidas en este incidente. La explicación que da la compañía es que todo apunta a un alcance limitado a sistemas corporativos conectados con herramientas de terceros, y no al núcleo de su servicio.
Aun así, para los afectados el riesgo sigue siendo real. Con nombres, correos, teléfonos y referencias a tickets de soporte, un atacante puede preparar mensajes o llamadas muy creíbles.
De ahí que LastPass haya pedido a sus clientes que vayan con especial cuidado con cualquier mensaje que reciban, sobre todo si incluye enlaces, archivos adjuntos o solicitudes para restablecer la cuenta.
La intrusión en Klue se habría atribuido, por lo que se sabe hasta ahora, a un actor conocido como Icarus. Y no parece que LastPass haya sido la única afectada.
Entre las organizaciones citadas en relación con este ataque aparecen Recorded Future, Tanium, Jamf, Sprout Social, Gong e Insurity. Eso refuerza la idea de que estamos ante un incidente de cadena de suministro con impacto en varias empresas.
En el caso de LastPass, además, el contexto pesa mucho. Esta nueva brecha llega después del ataque, bastante más grave, de 2022, cuando se robaron copias de seguridad de bóvedas de clientes y, más tarde, llegaron los informes sobre bóvedas descifradas, robos de criptomonedas, una multa de 1,23 millones de libras impuesta por la ICO en 2025 y un acuerdo colectivo de 24,5 millones.
Mientras tanto, LastPass ha puesto en marcha una investigación, ha revocado los tokens comprometidos y ha retirado a sus empleados el acceso a Klue mientras sigue revisando el alcance real del incidente.
