LastPass, firma stojąca za menedżerem haseł, poinformował dziś o kolejnym incydencie bezpieczeństwa. Tym razem sprawa wiąże się z Klue, zewnętrzną platformą do analiz rynkowych, z której korzystają zespoły sprzedaży i marketingu, a która integruje się między innymi z Salesforce i Gong. Z komunikatu LastPass wynika, że napastnicy przejęli tokeny OAuth przechowywane przez Klue, a potem użyli ich, by dostać się do środowiska Salesforce należącego do LastPass. Firma zaznacza przy tym, że nie znalazła żadnych śladów wskazujących na to, by incydent objął zaszyfrowane sejfy haseł użytkowników albo ich hasła główne.
Najważniejsze fakty wyglądają tak:
- Do incydentu, jak podaje LastPass, doszło w czerwcu 2026 roku.
- Przejęte miały zostać tokeny OAuth przechowywane przez Klue.
- Te same tokeny posłużyły potem do uzyskania dostępu do środowiska Salesforce należącego do LastPass.
- Z medialnych doniesień wynika, że za atakiem może stać grupa określana jako „Icarus”, która miała wykorzystać starsze, wcześniej przejęte dane uwierzytelniające powiązane z integracją.
- Wśród danych, które mogły znaleźć się w zasięgu atakujących, LastPass wymienia imiona i nazwiska klientów, numery telefonów, adresy e-mail, adresy pocztowe, informacje ze zgłoszeń do wsparcia, a także rekordy sprzedażowe i dane CRM.
- Firma twierdzi, że nic nie wskazuje na to, by naruszenie objęło zaszyfrowane sejfy haseł użytkowników lub ich hasła główne.
- LastPass uruchomił już dochodzenie, unieważnił przejęte tokeny dostępu, odciął pracownikom dostęp do Klue i zakończył korzystanie z tej usługi.
- Potwierdzono też, że skutki kompromitacji Klue mogły dotknąć również Recorded Future, Tanium, Jamf, Sprout Social, Gong i Insurity.
Z punktu widzenia użytkownika najistotniejsze jest jedno: nie ucierpiały sejfy ani hasła główne. Ten wyciek dotyczy więc danych kontaktowych i operacyjnych, a nie samego repozytorium haseł. To dość typowy scenariusz dla ataków na łańcuch dostaw. Celem nie musi być od razu główna firma. Czasem wystarczy partner technologiczny, przez którego da się wejść do kolejnych systemów.
Na razie LastPass podaje, że naruszenie obejmuje dane przechowywane w Salesforce. Skala zdarzenia jest jednak na tyle poważna, że jeśli korzystasz z LastPass, dobrze przygotować się na większą liczbę prób phishingu i podszywania się pod firmę. Pakiet obejmujący dane kontaktowe i historię zgłoszeń do wsparcia bardzo ułatwia układanie wiadomości, które wyglądają wiarygodnie. E-maile, SMS-y, telefony. Wszystko może sprawiać wrażenie prawdziwego kontaktu ze strony LastPass.
Dlatego nie podawaj pod żadnym pozorem w odpowiedzi na takie wiadomości hasła, kodów jednorazowych, kluczy odzyskiwania ani danych płatniczych. Sam LastPass zalecił użytkownikom szczególną ostrożność wobec komunikatów podszywających się pod firmę.
Ten nowy incydent siłą rzeczy przypomina też włamanie z 2022 roku. Tamta sprawa skończyła się kradzieżą kopii zapasowych sejfów klientów, późniejszymi informacjami o odszyfrowanych danych, stratami w kryptowalutach, karą nałożoną przez brytyjskie ICO w 2025 roku w wysokości 1,23 mln funtów oraz ugodą w pozwie zbiorowym wartą 24,5 mln dolarów.
Obecne naruszenie wygląda na bardziej ograniczone. I mimo to znowu pokazuje ten sam problem: ryzyko związane z integracjami i zewnętrznymi dostawcami bardzo szybko może przełożyć się na realne zagrożenie dla użytkownika. Na pełne wyniki dochodzenia trzeba jeszcze poczekać.
