Mensaje para nuestros clientes de LastPass
Quiero comunicarles novedades importantes sobre el incidente de seguridad que hicimos p&uacute;blico el 22 de diciembre de 2022.&nbsp;&nbsp;Hemos llegado ya al final de una investigaci&oacute;n exhaustiva y no hemos observado ninguna actividad por parte de los atacantes desde el 26 de octubre de 2022.
A lo largo de la investigaci&oacute;n, hemos recabado mucha informaci&oacute;n sobre lo que sucedi&oacute; y hoy vamos a revelar nuevas conclusiones. Durante este tiempo, hemos invertido una gran cantidad de horas y esfuerzos a reforzar nuestra seguridad y a mejorar el conjunto de actividades de protecci&oacute;n. Hoy voy a detallar estas medidas y explicar&eacute; tambi&eacute;n qu&eacute; otras acciones hemos adoptado para incrementar la seguridad.
Estos son los puntos que vamos a abordar hoy:
<ul>
    <li><strong>&iquest;Qu&eacute; ocurri&oacute; y qu&eacute; medidas adoptamos?</strong></li>
    <li><strong>&iquest;A qu&eacute; datos accedieron?</strong></li>
    <li><strong>&iquest;Qu&eacute; acciones deber&iacute;a realizar para protegerse o proteger a su empresa?</strong></li>
    <li><strong>Qu&eacute; hemos hecho para reforzar la seguridad de LastPass&nbsp;</strong></li>
    <li><strong>Qu&eacute; puede esperar de nosotros</strong></li>
</ul>
Tenemos el honor de ofrecer nuestros servicios a millones de usuarios y a m&aacute;s de 100.000&nbsp;empresas, y queremos asegurarnos de todos nuestros clientes tienen la informaci&oacute;n que necesitan para responder sus preguntas.&nbsp;Debido a la cantidad de datos que vamos a dar, hemos estructurado este comunicado a modo de res&uacute;menes, que incluyen enlaces para ampliar la informaci&oacute;n sobre cada tema.
Nos hemos tomado muy en serio los mensajes que nos ped&iacute;an dar informaci&oacute;n con m&aacute;s frecuencia y con m&aacute;s detalles durante este proceso. La duraci&oacute;n de la investigaci&oacute;n ha complicado dar una respuesta adecuada en este sentido, pero entendemos y lamentamos la frustraci&oacute;n que nuestros primeros comunicados provocaron en las empresas y particulares que conf&iacute;an en nuestros productos. Todos los detalles que daremos hoy y nuestra nueva estrategia de ahora en adelante son un ejemplo de nuestro compromiso de incorporar las demandas de los clientes y comunicar mejor.
Si desea ir directamente a las acciones recomendadas por LastPass para proteger su cuenta o la de su empresa, haga clic <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer">aqu&iacute;</a> en el caso de los clientes particulares o <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer">aqu&iacute;</a> en el caso de los administradores de empresas.
<h3>&iquest;QU&Eacute; OCURRI&Oacute; Y QU&Eacute; MEDIDAS ADOPTAMOS?</h3>
Los dos incidentes que comunicamos el a&ntilde;o pasado afectaron a LastPass y a nuestros clientes. Ninguno de estos incidentes fue causado por un defecto en un producto de LastPass ni por el acceso sin autorizaci&oacute;n a sistemas de producci&oacute;n (o un uso indebido de los mismos). El atacante explot&oacute; una vulnerabilidad en un software de terceros, super&oacute; los controles existentes y consigui&oacute; acceder a entornos de desarrollo y almacenamiento de copias de seguridad que no eran de producci&oacute;n.
Hemos compartido informaci&oacute;n t&eacute;cnica, indicadores de compromiso (IOC), t&aacute;cticas del atacante y t&eacute;cnicas y procedimientos (TTP) con las fuerzas del orden y nuestros socios de inteligencia sobre amenazas e informaci&oacute;n forense. Sin embargo, hasta la fecha se desconoce la identidad del atacante y su motivaci&oacute;n. No se ha puesto en contacto con nosotros ni ha realizado peticiones, y tampoco se ha detectado una actividad subterr&aacute;nea cre&iacute;ble que pueda indicar que est&aacute; tratando activamente de comercializar o vender informaci&oacute;n obtenida durante uno de los incidentes.
<strong>Resumen del incidente 1</strong>: el port&aacute;til de trabajo de un ingeniero de software qued&oacute; expuesto, lo que permiti&oacute; al atacante acceder sin autorizaci&oacute;n a un entorno de desarrollo en la nube y robar c&oacute;digo fuente, informaci&oacute;n t&eacute;cnica y determinados secretos del sistema interno de LastPass. No se robaron datos de los clientes ni informaci&oacute;n de las b&oacute;vedas durante este incidente, porque no hay datos de los clientes ni de las b&oacute;vedas en el entorno de desarrollo. &nbsp;Dimos el incidente por cerrado, pero m&aacute;s adelante averiguamos que se utiliz&oacute; informaci&oacute;n robada en el primer incidente para identificar objetivos e iniciar el segundo incidente.
En respuesta al primer incidente, movilizamos a nuestros equipos de seguridad internos y tambi&eacute;n recursos de Mandiant. &nbsp;Como parte del proceso de contenci&oacute;n, erradicaci&oacute;n y recuperaci&oacute;n, tomamos las siguientes medidas:
<ul>
    <li>Eliminamos el entorno de desarrollo y creamos uno nuevo como medida de contenci&oacute;n y erradicaci&oacute;n.</li>
    <li>Implantamos tecnolog&iacute;as y controles de seguridad adicionales para complementar los controles existentes.</li>
    <li>Rotamos todos los secretos sin cifrar relevantes utilizados por nuestros equipos y todos los certificados expuestos.</li>
</ul>
Puede consultar los detalles del primer incidente y las medidas correctivas <a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">aqu&iacute;</a>.
<strong>Resumen del incidente 2</strong>: el atacante perpetr&oacute; un ataque contra un ingeniero de desarrollo explotando un software de terceros vulnerable. Aprovech&oacute; esta vulnerabilidad para introducir malware, super&oacute; los controles existentes y, finalmente, consigui&oacute; acceder sin autorizaci&oacute;n a copias de seguridad en la nube. Entre los datos obtenidos de las copias de seguridad, encontramos datos de configuraci&oacute;n del sistema, secretos de API, secretos de integraci&oacute;n de terceros y datos cifrados y sin cifrar de clientes de LastPass.
Tras este segundo incidente, movilizamos a nuestro equipo de respuesta ante incidentes y Mandiant. En el marco de las actividades continuas de contenci&oacute;n, erradicaci&oacute;n y recuperaci&oacute;n relacionadas con el segundo incidente, hemos tomado las siguientes medidas:
<ul>
    <li>Hemos analizado los recursos de almacenamiento en la nube de LastPass y hemos aplicado pol&iacute;ticas y controles adicionales.</li>
    <li>Hemos analizado y modificado los controles de acceso con privilegios existentes.</li>
    <li>Hemos rotado secretos y certificados relevantes consultados por el atacante.</li>
</ul>
Puede consultar m&aacute;s detalles del ataque y las medidas correctivas <a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">aqu&iacute;</a>.
<h3>&iquest;A QU&Eacute; DATOS ACCEDIERON?</h3>
Como hemos especificado en los res&uacute;menes de los incidentes, el atacante rob&oacute; tanto datos propiedad de LastPass como datos de los clientes durante los dos incidentes, entre ellos:
<strong>Resumen de los datos consultados en el incidente 1:</strong>
<ul>
    <li>Repositorios de c&oacute;digo fuente y desarrollo en la nube bajo demanda: acceso a 14 de 200 repositorios de software.</li>
    <li>Scripts internos de los repositorios: conten&iacute;an secretos y certificados de LastPass.</li>
    <li>Documentaci&oacute;n interna: informaci&oacute;n t&eacute;cnica que describ&iacute;a el funcionamiento del entorno de desarrollo.</li>
</ul>
<strong>Resumen de los datos consultados en el incidente 2:</strong>
<ul>
    <li>Secretos de operaciones de desarrollo: secretos restringidos que se utilizaron para acceder al almacenamiento de copias de seguridad en la nube.</li>
    <li>Almacenamiento de copias de seguridad en la nube: datos de configuraci&oacute;n, secretos de API, secretos de integraci&oacute;n de terceros, metadatos de clientes y copias de seguridad de todos los datos de las b&oacute;vedas de los clientes. Todos los datos sensibles de las b&oacute;vedas de los clientes, salvo URL, rutas de archivo a software de LastPass para Windows o macOS instalado y determinados casos de uso con direcciones de correo electr&oacute;nico, estaban cifrados utilizando nuestro modelo de conocimiento cero y pueden descifrarse solo con una clave de cifrado &uacute;nica derivada de la contrase&ntilde;a maestra de cada usuario. Cabe recordar que LastPass nunca sabe las contrase&ntilde;as maestras de los usuarios finales, que no son almacenadas ni conservadas por LastPass, por lo que no forman parte de los datos filtrados.</li>
    <li>Copia de seguridad de la base de datos de la autenticaci&oacute;n multifactor/federaci&oacute;n de LastPass: conten&iacute;a copias de valores de inicializaci&oacute;n de LastPass Authenticator, n&uacute;meros de tel&eacute;fono utilizados para la opci&oacute;n de copia de seguridad MFA (si estaba activada) y tambi&eacute;n como componente de conocimiento dividido (la &ldquo;clave&rdquo; K2) utilizada para la federaci&oacute;n de LastPass (si estaba activada). Esta base de datos estaba cifrada, pero la clave de descifrado guardada por separado figuraba entre los secretos robados por el atacante durante el segundo incidente.</li>
</ul>
Puede consultar informaci&oacute;n detallada sobre los datos de los clientes afectados por estos incidentes <a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener noreferrer">aqu&iacute;</a>.
<h3>&iquest;QU&Eacute; ACCIONES DEBER&Iacute;A REALIZAR PARA PROTEGERSE O PROTEGER A SU EMPRESA?</h3>
Para ayudar a nuestros clientes en sus propias respuestas ante los incidentes, hemos preparado dos boletines de seguridad: uno para nuestros usuarios particulares de los planes Free, Premium y Families, y otro adaptado a los usuarios de Business y Teams. Cada uno de estos boletines de seguridad incluye informaci&oacute;n pensada para que nuestros clientes puedan proteger su cuenta de LastPass y actuar frente a estos incidentes de seguridad de una forma que les permita dar respuesta a sus necesidades personales o al perfil de seguridad y al entorno de su organizaci&oacute;n.
<ul>
    <li><strong>Bolet&iacute;n de seguridad: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer"><strong>Acciones recomendadas</strong></a><strong> para los clientes de LastPass Free, Premium y Families. </strong>Este bolet&iacute;n gu&iacute;a a los usuarios de estos planes en el proceso de revisi&oacute;n de ajustes importantes de LastPass para asegurarse de que est&aacute;n siguiendo las pr&aacute;cticas recomendadas para proteger su cuenta.</li>
    <li><strong>Bolet&iacute;n de seguridad: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer"><strong>Acciones recomendadas</strong></a><strong> para administradores de LastPass Business. </strong>Este bolet&iacute;n explica a los administradores de nuestros clientes de Business y Teams c&oacute;mo realizar una evaluaci&oacute;n de riesgos de la configuraci&oacute;n de su cuenta de LastPass e integraciones de terceros. Incluye informaci&oacute;n relevante tanto para los clientes federados como para los no federados.</li>
</ul>
Si tiene cualquier pregunta sobre las acciones recomendadas, p&oacute;ngase en contacto con la asistencia t&eacute;cnica o con su equipo de &eacute;xito del cliente, que estar&aacute; encantado de ayudarle.
<h3>QU&Eacute; HEMOS HECHO PARA REFORZAR LA SEGURIDAD DE LASTPASS</h3>
Desde agosto, hemos implantado nuevas tecnolog&iacute;as en nuestra infraestructura, centros de datos y estructuras en la nube para mejorar nuestra estrategia de seguridad. Gran parte de estos cambios estaban ya previstos y se han ejecutado en un tiempo r&eacute;cord, porque se hab&iacute;an iniciado antes de que se produjera el primer incidente.
Hemos priorizado y puesto en marcha inversiones considerables para desplegar las mejores pr&aacute;cticas en seguridad, privacidad y operaciones. Hemos revisado a fondo nuestras pol&iacute;ticas de seguridad y hemos introducido cambios para restringir el acceso y los privilegios all&iacute; donde era necesario. Hemos hecho un an&aacute;lisis exhaustivo de los controles y configuraciones existentes, y hemos realizado los cambios necesarios para reforzar la protecci&oacute;n de los entornos. Hemos empezado a trabajar para ampliar el uso del cifrado en nuestra infraestructura de aplicaciones y copias de seguridad. Por &uacute;ltimo, hemos comenzado a dise&ntilde;ar iniciativas a largo plazo para la arquitectura con el objetivo de impulsar la evoluci&oacute;n de la plataforma en el conjunto de LastPass.
Puede hacer clic <a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener noreferrer">aqu&iacute;</a> para consultar una lista de todas las acciones llevadas a cabo y todo lo que est&aacute; en la hoja de ruta actual de seguridad.
<h3>QU&Eacute; PUEDE ESPERAR DE NOSOTROS DE AHORA EN ADELANTE</h3>
<p>
Desde nuestro comunicado del 22 de diciembre, he hablado con muchos de nuestros clientes particulares y de empresa. Soy consciente de su frustraci&oacute;n con nuestras dificultades para dar m&aacute;s informaci&oacute;n inmediatamente y para comunicarnos de una forma m&aacute;s clara y completa durante todo este episodio. Acepto sus cr&iacute;ticas y asumo toda la responsabilidad. Hemos aprendido mucho y tenemos el compromiso de mejorar nuestra comunicaci&oacute;n de ahora en adelante. Este comunicado es una prueba de ello.
Hace poco m&aacute;s de un a&ntilde;o, GoTo y sus inversores anunciaron que LastPass iba a convertirse en una empresa independiente con un nuevo equipo directivo. El objetivo era aprovechar todo el potencial de la compa&ntilde;&iacute;a y crear la plataforma l&iacute;der de gesti&oacute;n de contrase&ntilde;as para empresas. A finales de abril de 2022, me incorpor&eacute; al equipo como CEO para liderar este esfuerzo.
En los &uacute;ltimos ocho meses, hemos contratado a nuevos ejecutivos para impulsar el crecimiento de la empresa y poner en marcha una nueva estrategia. Entre estas nuevas incorporaciones, hay desde reconocidos veteranos del sector hasta nombres de referencia del &aacute;mbito de la seguridad y la tecnolog&iacute;a.
En el marco de la fase de crecimiento que iniciar&aacute; la empresa, hemos hecho una inversi&oacute;n de varios millones de d&oacute;lares para reforzar la seguridad de los profesionales, los procesos y la tecnolog&iacute;a. Esta inversi&oacute;n refleja el compromiso de convertir LastPass en una empresa l&iacute;der en ciberseguridad y mejorar nuestra protecci&oacute;n frente a futuras amenazas.
Muchas gracias por su comprensi&oacute;n y apoyo continuo.</p>
<p>
Karim Toubba</p>
<p>
CEO de LastPass</p>

Información actualizada sobre el incidente de seguridad y acciones recomendada

Mensaje para nuestros clientes de LastPass
Quiero comunicarles novedades importantes sobre el incidente de seguridad que hicimos p&uacute;blico el 22 de diciembre de 2022.&nbsp;&nbsp;Hemos llegado ya [..]

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
<h2><strong>Informe sobre una incidencia: 22 marzo de 2017 (14.30)</strong></h2>
Queremos informar a nuestra comunidad sobre las vulnerabilidades detectadas recientemente por Tavis Ormandy, investigador de seguridad del equipo Project Zero de Google.

Este informe es largo, pero encontrará la información más relevante en el resumen. Si quiere conocer todos los detalles, puede leer el texto completo.
<h2><strong>Resumen</strong></h2>
<ul>
 	<li>El investigador de seguridad Tavis Ormandy identificó recientemente dos vulnerabilidades</li>
 	<li>Las investigaciones que hemos realizado hasta la fecha no han revelado la pérdida ni la divulgación de datos confidenciales de los usuarios</li>
 	<li>Se han creado parches para todas las extensiones, que se están poniendo a disposición de los usuarios</li>
 	<li>La incidencia no afectó a nuestras aplicaciones para dispositivos móviles Android y iOS</li>
 	<li>No es necesario cambiar la contraseña maestra</li>
 	<li>No hace falta cambiar las contraseñas del sitio</li>
 	<li>Asegúrese de que utiliza las versiones más recientes
<ul>
 	<li>La mayoría de los usuarios tienen configurada la actualización automática, pero siempre pueden descargarse las versiones más recientes desde <a href="https://lastpass.com/download">com/download</a></li>
 	<li>Para saber qué versión tiene, vaya al icono de LastPass &gt; Más opciones &gt; Acerca de LastPass
<ul>
 	<li>Firefox: 4.1.36</li>
 	<li>Chrome: 4.1.43.82</li>
 	<li>Edge: 4.1.30 (pendiente de la aprobación de Microsoft)</li>
 	<li>Opera: 4.1.28 (pendiente de la aprobación de Opera)</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>¿Qué ocurrió?</strong></h2>
Tavis Ormandy, investigador del Project Zero de Google, comunicó la semana pasada a nuestro equipo <a href="https://twitter.com/taviso/status/843965519371812864">d</a><a href="https://twitter.com/taviso/status/843965519371812864">os</a> <a href="https://twitter.com/taviso/status/842205051082821632">vulnerabilidades</a> que afectaban a muchas extensiones para navegadores de LastPass. Los problemas detectados tienen repercusión tanto para los usuarios personales como profesionales.

Para explotar las vulnerabilidades detectadas, el atacante primero tendría que lograr que el usuario visitara un sitio web malicioso. Una vez allí, Tavis nos demostró cómo un atacante podría enviar peticiones a API de LastPass y, en algunos casos, ejecutar código arbitrario, todo ello sin despertar sospecha alguna. Con este método, el atacante podría recuperar y dejar al descubierto información de la cuenta de LastPass, como las credenciales de inicio de sesión del usuario.
<h2><strong>Error de secuestro de mensajes en la versión 3.3.2 de la extensión de LastPass para Firefox</strong></h2>
<strong>Incidencia detectada:</strong>
Aprovechando nuestro proceso de análisis de las URL en la versión 3.3.2 de la extensión de LastPass para Firefox, sitios web maliciosos podrían pasar por sitios web legítimos y engañar al complemento de LastPass para que facilite las credenciales del usuario afectado para acceder al sitio.

Este error fue <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">comunicado a nuestro equipo el año pasado</a> y lo corregimos en este momento. Sin embargo, el parche no se introdujo en la versión 3.3.x para Firefox, cuya retirada formal está prevista para este mes de abril.

<strong>Qué debe saber:</strong>
<ul>
 	<li>Antes de la presentación de este informe, <a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">anunciamos ya la retirada de nuestra</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> versión 3.x</a> para Firefox.</li>
 	<li>Nuestra recomendación es que los usuarios instalen la versión 4.1.36 para Firefox desde <a href="https://lastpass.com/download">com/download</a>. Los usuarios también pueden descargar la versión 3.3.4 para Firefox, aunque como ya advertimos recientemente, la versión 3.x de LastPass se retirará en las próximas semanas.</li>
</ul>
<h2><strong>Error con el conector de sitio web</strong></h2>
<strong>Incidencia detectada:</strong>
Un <a href="https://twitter.com/taviso/status/843965519371812864">problema</a> con la arquitectura de una función de integración de usuarios afectaba a los clientes que tenían ese código (Chrome, Firefox, Edge). Un sitio web malicioso podría engañar a LastPass haciéndose pasar por un sitio de confianza y robar las credenciales del sitio. Los usuarios que utilizan el componente binario de LastPass (menos del 10% del conjunto de usuarios de LastPass), además, podían ser víctimas de accesos remotos no autorizados al ser atraídos a un sitio web malicioso.

El error apareció por primera vez en agosto de 2016, coincidiendo con el lanzamiento de esta función experimental de integración de usuarios destinada a nuestros usuarios finales. El código, sin embargo, está presente en todos los clientes de LastPass para Chrome, Firefox y Edge.

Al tener constancia de la vulnerabilidad, el equipo de LastPass cerró inmediatamente el servicio vulnerable y empezó a trabajar para actualizar todos los clientes afectados.

Mientras estábamos arreglando el problema con el cliente, Tavis <a href="https://twitter.com/taviso/status/844312124541186048">escribió un tweet</a> indicando otro problema (aunque ya lo ha borrado). Para evitar confusiones, debemos aclarar que se trata del mismo problema en dos navegadores distintos. Esta circunstancia provocó cierto desconcierto en torno al alcance de los problemas y al estado de los parches.

<strong>Qué debe saber:</strong>
<ul>
 	<li>Hemos creado actualizaciones para todos los clientes afectados para acabar con esta vulnerabilidad y las hemos puesto a disposición de todos los usuarios.</li>
 	<li>Las actualizaciones para Chrome y Firefox ya están operativas, mientras que en el caso de Edge y Opera se encuentran en fase de espera para obtener la aprobación de la tienda de aplicaciones.</li>
 	<li>Dentro de este mismo proceso, hemos sometido a un exhaustivo análisis todas las demás extensiones (e instaladores) que utilizan este código.</li>
</ul>
<h2><strong>Cronología completa (Costa Este de EE. UU.):</strong></h2>
<strong>Error de secuestro de mensajes en la versión 3.3.2 de la extensión de LastPass para Firefox</strong>
<ul>
 	<li>10 de marzo: LastPass anuncia la retirada formal de las versiones 3.3.x para Firefox</li>
 	<li>15 de marzo a las 22.45 h: Se anuncia la vulnerabilidad relacionada con el secuestro de mensajes en la versión 3.3.2 de la extensión de LastPass para Firefox.</li>
 	<li>15 de marzo a las 22.48 h: LastPass recibe detalles sobre el error en la versión 3.3.2 de la extensión de LastPass para Firefox y abre una investigación</li>
 	<li>17 de marzo a las 8.43 h: LastPass envía un parche a Mozilla con la versión 3.3.4 de la extensión de LastPass para Firefox</li>
</ul>
<strong>Error con el conector de sitios web</strong>
<ul>
 	<li>20 de marzo a las 19.20 h: Se anuncia el error en el conector de sitios web de la versión 4.1.42 de LastPass para Chrome</li>
 	<li>20 de marzo a las 19.36 h: Se abre una investigación transversal de seguridad en LastPass</li>
 	<li>21 de marzo a las 00.15 h: LastPass cierra el servidor responsable del servicio problemático</li>
 	<li>21 de marzo a las 7.04 h: LastPass anuncia una solución para la parte del servidor mientras analizamos a conciencia el código y resolvemos por completo los problemas experimentados por el cliente</li>
 	<li>22 de marzo a las 00.10 h: LastPass lanza la versión 4.1.36 para Firefox con la corrección</li>
 	<li>22 de marzo a las 12.07 h: LastPass lanza la versión 4.1.43.82 para Chrome con la corrección</li>
 	<li>22 de marzo a las 13.55 h: LastPass envía la versión 4.1.30 para Edge para su lanzamiento</li>
 	<li>22 de marzo a las 14.49 h: LastPass lanza la versión 4.1.28 para Opera con la corrección <a href="https://lastpass.com/download">com/download</a>; lanzamiento pendiente de la aprobación de la tienda</li>
</ul>
<h2><strong>Recordatorios sobre prácticas recomendadas en materia de seguridad personal</strong></h2>
Sabemos que los usuarios de LastPass tratan de ceñirse a las prácticas recomendadas, pero nunca está de más un recordatorio sobre la mejor forma de proteger los equipos y los datos:
<ul>
 	<li>Cuidado con los ataques de phishing. No haga clic en vínculos de gente que no conozca o cuyo contenido le resulta extraño o ilógico, a pesar de que parecen provenir de personas y empresas en las que confía.</li>
 	<li>Utilice una contraseña distinta y única para cada una de sus cuentas en Internet.</li>
 	<li>Utilice para su cuenta de LastPass una contraseña maestra fiable y segura que nadie más sepa, ni siquiera nosotros.</li>
 	<li>Active la autenticación de doble factor para LastPass y otros servicios, como su banco, e-mail, Twitter, Facebook, etc.</li>
 	<li>Mantenga su máquina limpia utilizando un antivirus y actualizando siempre el software.</li>
</ul>
<h2><strong>Mirando al futuro</strong></h2>
Para evitar que se repitan estos problemas en el futuro, estamos revisando y reforzando los procesos actuales de control de la seguridad de nuestro código, sobre todo al implantar funciones nuevas o experimentales.

Como puede imaginarse, la seguridad es un elemento fundamental para la labor que realizamos en LastPass. Y creemos que la transparencia es la mejor forma de encarar estas incidencias. Valoramos enormemente el trabajo realizado por Tavis, Project Zero y otros muchos investigadores. Todos salimos beneficiados cuando este modelo de seguridad sirve para poner errores al descubierto, y estamos convencidos de que ahora LastPass es una plataforma más fuerte. Disponemos de un programa con recompensas abierto a todos los investigadores que hayan identificado errores en nuestro software: <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a>.

———-

<strong>22 marzo de 2017 (11.12 h)</strong>

La semana pasada estuvimos trabajando con el investigador de seguridad de Google Tavis Ormandy para investigar y reparar las vulnerabilidades detectadas. Lamentamos no haber dado una explicación antes, pero queríamos analizar a conciencia estas incidencias para poder ofrecer una respuesta con el máximo nivel de detalle. Aunque pronto presentaremos una explicación detallada de los hechos, para nosotros era importante hacer este pequeño resumen para tranquilizar a nuestra comunidad.

<strong>¿Qué ocurrió?</strong>
La noche del 20 de marzo nos informaron de un problema en nuestra extensión 4.1.42.80 para Chrome. Nos pusimos a investigar el problema de inmediato y lanzamos una solución para la parte del servidor en unas pocas horas. El problema afectaba a todos los clientes de LastPass —Chrome, Firefox, Edge— con una función experimental de integración de usuarios.

El 21 de marzo llegó la información sobre otro error relacionado con la versión 4.1.35a para Firefox. En realidad, esta vulnerabilidad es prácticamente idéntica a la comunicada el día antes, que afectaba a la versión 4.x del complemento para Firefox. Aunque este problema se hubiera resuelto con la corrección completa propuesta la solución provisional, recibimos el informe antes de lanzarla. Hoy a las 00.15 h ET hemos publicado una actualización, la versión 4.1.36a para Firefox, en respuesta a las conclusiones de dicho informe.

Las correcciones se están haciendo llegar a todos los usuarios y en la mayoría de los casos las actualizaciones tienen lugar automáticamente.

Nada parece indicar que ninguna de las vulnerabilidades detectadas se haya explotado en ninguna situación real, aunque actualmente tenemos en marcha un análisis detallado para confirmarlo. Muy pronto publicaremos un resumen más completo de la situación y de todo lo que nuestros usuarios necesitan saber. En estos momentos no es necesario que los usuarios modifiquen ninguna contraseña.
<h2 data-usually-unique-id="992734018312391"></h2>
</div>

Novedades de seguridad importantes para nuestros usuarios

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more[..]

¿Preocupado por el «Cloudbleed»? El Reto de seguridad de LastPass identifica ahora los principales sitios web que pueden sufrido las consecuencias del fallo en la seguridad de Cloudflare, incluidos en las 10.000 primeras posiciones del ranking de Alexa. Al indicarle los sitios web afectados, LastPass le ayuda a priorizar y a actualizar sus contraseñas. Ejecute el Reto de seguridad desde el panel izquierdo de su bóveda de LastPass o inicie el Reto de seguridad ahora y empiece a proteger sus contraseñas:
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a>  </span></p>
<strong>¿Qué ha ocurrido con Cloudflare?</strong>

Cloudflare, un servicio que optimiza la seguridad y el rendimiento de más de 5,5 millones de sitios web, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">alertó a sus clientes la semana pasada</a> de una brecha en su seguridad que habría permitido la exposición de información confidencial de sus clientes. Contraseñas, cookies y tokens para la autenticación de usuarios se contarían entre los datos afectados. <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">Consulte la entrada de su blog sobre este tema</a> para obtener información más detallada.

<strong>¿Hay motivos para preocuparse?</strong>

La magnitud de la brecha era enorme por la cantidad de sitios web a los que presta servicio Cloudflare, que incluyen nombres de la talla de Medium, Namecheap y Change.org. Sin embargo, Cloudflare ha asegurado que el impacto real es relativamente pequeño y, por lo tanto, el riesgo para cualquier tipo de dato es bastante bajo. La brecha ahora ya es historia, pero no debemos olvidar que la filtración de datos empezó en septiembre de 2016. Y como una parte de los datos quedó en la caché de los motores de búsqueda durante ese tiempo, no es descartable una exposición de información delicada.

Es imposible tener la seguridad de que sus datos no se filtraron, por lo que si es de los que cree que mejor prevenir que curar vale la pena tomar medidas. La estrategia más sensata es aprovechar esta oportunidad para cambiar todas las contraseñas señaladas como potencialmente vulnerables.

<strong>Cambiar las contraseñas es más fácil con LastPass</strong>

El Reto de seguridad de LastPass ahora detecta los principales sitios web afectados por el «Cloudbleed», incluidos en las 10.000 primeras posiciones del ranking de Alexa. Si utiliza la autenticación de doble factor en los sitios afectados, le recomendamos que la anule y vuelva a añadirla.

El Reto de seguridad identifica qué credenciales de su bóveda son poco seguras, repetidas, antiguas o potencialmente vulnerables. Y ahora, si en su bóveda tiene alguno de los sitios que aparecen en el ranking de los principales sitios afectados por la brecha de seguridad de Cloudflare, la lista de alertas lo incluirá también.

LastPass simplifica el proceso de cambio de contraseñas, porque le ayuda a generar al instante una contraseña nueva, larga y aleatoria. Luego la guarda en su bóveda y la recuerda la próxima vez que tiene que iniciar sesión. Si alguna de las contraseñas modificadas es compartida con otros usuarios, LastPass se encarga de sincronizar el cambio en segundo plano para todo el mundo tenga la última contraseña.

En algunos casos, LastPass puede ocuparse incluso de cambiar la contraseña automáticamente con el Cambio automático de contraseña. Con un solo clic, LastPass puede cambiar la contraseña de más de cien sitios web. Esta opción seguramente esté disponible en algunos de los sitios de Cloudflare afectados, por lo que vale la pena aprovecharla.

&nbsp;
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

El Reto de seguridad de LastPass alerta sobre los sitios de Cloudflare

¿Preocupado por el «Cloudbleed»? El Reto de seguridad de LastPass identifica ahora los principales sitios web que pueden sufrido las consecuencias del fallo en la seguridad de Cloudflare, incluidos en[..]

En el campo de la seguridad existe solo una constante: el cambio. Conscientes de la evolución permanente de la tecnología, nos esforzamos día a día para ir un paso por delante y proteger su información con las máximas garantías. En los últimos días han aparecido noticias alarmantes, que seguramente habrán generado preocupación entre nuestros usuarios. Ahora intentaremos dar respuesta a sus inquietudes para que la comunidad de LastPass pueda volver a respirar tranquila.

<b>Cloudflare</b>

<strong>Resumen: LastPass no utiliza Cloudflare y, por lo tanto, no se ha visto afectado por </strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/"><strong>el incidente de seguridad destapado recientemente</strong></a><strong>.</strong>

¿Qué ocurrió? Cloudflare es una empresa de SaaS que ayuda a optimizar la seguridad y el rendimiento de los sitios web. El jueves 23 de febrero alertó a sus clientes sobre una vulnerabilidad en su sistema que acababa de subsanar (y que había detectado el investigador de Google Tavis Ormandy). Esta brecha en la seguridad abría la puerta a la exposición de información confidencial de diferentes tipos, pero podemos confirmar que LastPass no utiliza Cloudflare y, por lo tanto, no se ha visto afectado.

Sin embargo, los usuarios de LastPass pueden tener cuentas en sitios web que sí utilizan Cloudflare. Así pues, si alguno de los servicios que usa aparece en las listas de sitios web afectados, le recomendamos que actualice su contraseña. Aunque el riesgo para estas cuentas es mínimo, mejor prevenir que curar.

&nbsp;

<strong>El ataque de colisión contra SHA-1</strong>

<strong>Resumen: Los usuarios de LastPass pueden estar tranquilos porque nuestros hash y nuestro sitio web son seguros. Para la creación de los hash de las contraseñas, LastPass utiliza un sistema de hash iterado con un componente de hash SHA-256 o superior. Los certificados HTTPS usan como mínimo SHA-256 o superior para la función de digest.</strong> <strong>Tal y como apuntó el equipo de seguridad de Google, SHA-256 es una función de hash criptográfica más segura.</strong>

¿Qué ocurrió? El equipo de seguridad de Google <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">anunció recientemente</a> el primer ataque real documentado contra el SHA-1. El SHA-1 (Secure Hash Algorithm 1) es una función de hash que se utiliza desde 1995. Los hash son una función unidireccional (lo que implica inmunidad a la ingeniería inversa) que se utiliza para ocultar y almacenar datos. Representa un paso más que el cifrado. El SHA-1 es un recurso muy habitual para proteger el software y, más concretamente, para evitar la manipulación de las actualizaciones de software y velar por la seguridad de las conexiones entre los sitios web y los clientes que los utilizan. Sin embargo, se sabía que el SHA-1 era vulnerable a ataques teóricos desde como mínimo 2005 y, durante los últimos años, Google ha hecho un llamamiento a los desarrolladores para que dieran el paso de usar otros algoritmos.

El nuevo informe, que salió a la luz el jueves 23 de febrero, demuestra que los investigadores de seguridad consiguieron perpetrar el primer ataque de colisión real contra la función de hash SHA-1. En concreto, se utilizaron dos archivos completamente distintos (en este caso, PDF) para producir una firma SHA-1 idéntica. Y eso no debería poder pasar... La idea es que cada archivo genere su propia firma SHA-1, porque de lo contrario un archivo «falso» podría pasar por un archivo «auténtico» y de confianza.

Como apuntábamos antes, LastPass genera los hash de autenticación con PBKDF2 implementado con SHA-256, no con SHA-1. Asimismo, la conexión del sitio web LastPass.com es también segura, porque nuestro certificado HTTPS utiliza SHA-256, no SHA-1.

También queremos precisar que estamos dejando de usar SHA-1 en otras áreas del producto, como su aplicación para firmar binarios. El riesgo es muy bajo, pero a la luz de este informe sobre colisión hemos acelerado nuestro plan de retirada del SHA-1.

Como siempre, mantendremos informados a nuestros usuarios de cualquier novedad.

Muchas gracias.

El equipo de LastPass

Dos comunicados de seguridad: El ataque de colisión contra SHA-1 y el incidente de Cloudflare

En el campo de la seguridad existe solo una constante: el cambio. Conscientes de la evolución permanente de la tecnología, nos esforzamos día a día para ir un paso por delante y proteger su informació[..]

Ya es oficial: 2016 es el «Año del Cambio de Contraseña». Cuando pensábamos que la cosa no podía ir a peor en lo que al robo masivo de datos se refiere, <a href="http://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P">recientemente salió a la luz</a> que más de <em>500 millones</em> de cuentas de Yahoo habían sido hackeadas en 2014. Tras lo sucedido, queremos lanzar una advertencia: cambiar la contraseña de Yahoo ahora no es suficiente.

Pongamos el robo de datos sufrido por Yahoo en perspectiva: la magnitud es tal que es como si los hackers hubieran robado la información de la cuenta de la <em>mitad de los usuarios</em> de Facebook. Seguro que pasa a los anales de la historia como el mayor incidente de ciberseguridad hasta la fecha.

Y por si fuera poco, el episodio de Yahoo llega después de <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">otros robos masivos de datos</a> ocurridos durante este mismo año: los incidentes registrados por <a href="https://www.theguardian.com/technology/2016/aug/31/dropbox-hack-passwords-68m-data-breach">Dropbox</a>, <a href="http://motherboard.vice.com/read/another-day-another-hack-117-million-linkedin-emails-and-password">LinkedIn</a> y <a href="http://www.pcmag.com/news/344876/myspace-breach-reportedly-affects-360m-records">MySpace</a> han afectado a cientos de millones de personas.

Terrible, ¿verdad? Sí, pero la cosa no acaba aquí. Las enormes listas de nombres de usuario y contraseñas filtradas son la munición perfecta para que los hackers puedan piratear cuentas de los mismos usuarios en otros sitios web que les resulten aún más lucrativos. Lo único que tienen que hacer es probar con los mismos nombres de usuario y contraseñas en otras páginas y, si suena la flauta, están dentro.

Eso significa que cualquier persona que<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/"> haya cometido el error de usar la misma contraseña</a> en más de un sitio web ahora está a la merced de los hackers. Con <a href="http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/">los superordenadores actuales</a>, los piratas lo tienen muy fácil para ir probando contraseñas. Y como hay tanta gente que sigue utilizando la misma contraseña en varios sitios, la estrategia les compensa, y mucho. <strong>¿Conclusión? Sus contraseñas de Yahoo o Dropbox no son las únicas que están expuestas: los hackers pueden acceder también a cualquier otro sitio web en el que haya usado la misma contraseña o una similar.</strong>

Ahora ya no basta con cambiar la contraseña de Yahoo. Para protegerse tiene que hacer más. ¿Puede responder con un sí a todas estas afirmaciones?
<ul>
 	<li>Uso un gestor de contraseñas como LastPass.</li>
 	<li>No utilizo la misma contraseña en dos sitios web o apps diferentes.</li>
 	<li>He cambiado todas las contraseñas a lo largo del último año <strong>y</strong></li>
 	<li>He modificado la contraseña de Yahoo. Ahora tengo una mucho más segura y aleatoria.</li>
</ul>
Si ha respondido con un sí a todas, es un auténtico crack de las contraseñas. Si le ha salido algún no, siga nuestras recomendaciones para tomar el mando y empezar a protegerse en Internet:
<h2><strong>Descargue un gestor de contraseñas.</strong></h2>
Si ya utiliza LastPass, tenemos una buena noticia: puede saltarse este paso y avanzar hasta el siguiente. Y si todavía no lo usa, hoy es el día ideal para <a href="https://lastpass.com/">descargar</a> su nuevo gestor de contraseñas. Para la mayoría de la gente, es una misión (casi) imposible tener las contraseñas organizadas, crear contraseñas seguras y diferentes para cada cuenta y, encima, recordarlas. Un gestor de contraseñas se encarga de todo eso y, además, le permite tener todas las contraseñas a mano cada día. Y no solo eso: protege todas las claves almacenadas con el mejor cifrado que existe. Así, pues, no lo piense más y <a href="https://lastpass.com/download">descargue ahora</a> su gestor de contraseñas. Todas sus contraseñas se guardarán en su bóveda particular e incluso podrá importar las contraseñas que tenga guardadas en su navegador.
<h2><strong>Enfréntese al Reto de Seguridad.</strong></h2>
Aquí es donde su gestor de contraseñas marca la diferencia. Si hace tiempo que usa LastPass, sabe perfectamente cuánto tiempo y quebraderos de cabeza se ahorra. Sin embargo, el trabajo de su gestor no acaba aquí: LastPass puede ayudarle a generar contraseñas seguras y diferentes para cada cuenta con el objetivo de reforzar al máximo la seguridad de sus cuentas. Y la mejor forma de saber qué nivel de protección le ofrecen sus contraseñas de seguridad es enfrentarse al <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">Reto de Seguridad de LastPass</a>. Solo así podrá saber cuántas contraseñas tiene en su bóveda, cuáles son poco seguras, muy antiguas o repetidas e incluso cuáles de los sitios web que usa han sufrido ataques de hackers. Por eso es tan interesante hacer este paso antes de cambiar la contraseña de Yahoo: después de enfrentarse al reto sabrá si ha utilizado la contraseña que tenía en Yahoo en otros sitios y podrá cambiarla también en esas páginas.
<h2><strong>Ahora, cambie la contraseña de Yahoo.</strong></h2>
Inicie sesión en su cuenta de Yahoo y utilice el generador de contraseñas de LastPass para crear una nueva contraseña. Guarde la nueva contraseña en LastPass y en su cuenta de Yahoo. Y listos. ¿Quién dijo que crear una contraseña de 20 caracteres era complicado?
<h2><strong>Próximo paso: cambiar todas las otras contraseñas.</strong></h2>
<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/">Al enteramos de que se ha producido un robo masivo de datos</a>, todos corremos a cambiar contraseñas, algo que requiere su tiempo y también una buena dosis de paciencia. Cuando haya descubierto qué contraseñas ha utilizado más de una vez gracias al Reto de Seguridad, LastPass puede ayudarle a cambiarlas de una forma mucho más sencilla. Para empezar, en mucho sitios web LastPass puede encargarse de cambiar la contraseña automáticamente con el <a href="https://helpdesk.lastpass.com/generating-a-password/#h2">Cambio automático de contraseña</a> (<u>Auto-Password Change)</u>. Elija esta opción cuando esté disponible y LastPass se encargará de hacer todo el trabajo en segundo plano. Y cuando no lo esté, utilice el generador de contraseñas de LastPass para crear la contraseña más segura posible y guarde los cambios en su bóveda de LastPass y también en el propio sitio web.
<h2><strong>No menosprecie la importancia de las preguntas de seguridad.</strong></h2>
Los sitios web a menudo nos piden que asociemos respuestas a unas preguntas de seguridad especiales para reforzar la protección de nuestra cuenta. La idea no está mal, pero normalmente no sirven para mucho porque la información no está cifrada y las respuestas son fáciles de adivinar con unas rápidas búsquedas en Internet. Sin embargo, eso tiene solución: puede usar el generador de contraseñas para crear respuestas inventadas a dichas preguntas. Luego guarda las respuestas como notas en la entrada del sitio en su bóveda para no olvidarse de que su mascota favorita se llamaba en realidad: sPEcTOpeRoseNctuLAte.

En conclusión, lo mejor que puede hacer hoy para frustrar los planes de los hackers después de robos masivos como los de Yahoo es no utilizar nunca la misma contraseña dos veces y crear siempre una contraseña segura y diferente para cada uno de los sitios web y apps que utilice. Tras seguir todos nuestros pasos, estará mucho mejor preparado para cuando vuelvan a saltar todas las alarmas. Si un sitio web de los que utiliza es hackeado, solo tendrá que cambiar esa contraseña, porque sabrá que todas sus demás cuentas están a salvo. Una cosa está clara: no hay mejor momento que este para reforzar la seguridad de sus contraseñas en todas sus cuentas.

Ha llegado el momento de cambiar todas las contraseñas

Ya es oficial: 2016 es el «Año del Cambio de Contraseña». Cuando pensábamos que la cosa no podía ir a peor en lo que al robo masivo de datos se refiere, <a href="http://www.reuters.com/article/us-yaho[..]

En las últimas semanas seguramente se habrá cansado de ver en las noticias que muchas empresas muy importantes, como <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> y <a href="https://www.wired.com/2016/05/hack-brief-old-myspace-account-just-came-back-haunt/">MySpace</a>, han sufrido últimamente robos de datos e incidentes relacionados con la seguridad. Por desgracia, cuando se producen sucesos de tal magnitud, millones de nombres de usuario y contraseñas quedan al descubierto y cualquiera puede hacer un mal uso de ellos. El modo más fácil para los atacantes de utilizar esas credenciales es intentar iniciar sesión de manera sistemática en otros sitios web con las mismas combinaciones de nombre de usuario y contraseña.

Como muchas veces reutilizamos las contraseñas, los atacantes obtienen rápidamente acceso a las cuentas en otros sitios web mediante lo que se conocen como “ataques basados en la reutilización de contraseñas”. El sitio web nuevo por sí mismo no es el que genera el problema de seguridad, pero sus usuarios pasan a estar bajo riesgo porque han utilizado las mismas contraseñas en varias páginas web. Tenemos la suerte de contar con uno de los gestores de contraseñas más utilizados, pero eso tampoco significa que nuestro servicio esté a salvo de sufrir esos intentos de iniciar sesión de manera fraudulenta. Además, como la reutilización de las contraseñas es una práctica muy extendida (a pesar de ser muy peligrosa), hacemos todo lo que podemos para defender a nuestros usuarios, incluso si eso significa protegerles contra ellos mismos.

De ahí que nuestro equipo de ingenieros de seguridad supervise constantemente la Web en busca de nombres de usuario y contraseñas que se filtran cuando son atacados otros sitios web. Cuando nos llegan noticias de que se han producido nuevos robos de datos, conseguimos inmediatamente las listas de los nombres de usuario y las contraseñas que se han filtrado y las comparamos con nuestra propia base de usuarios para ver si alguna de ellas coincide con las de las cuentas de LastPass. En caso afirmativo, deshabilitamos inmediatamente la cuenta para así proteger la bóveda del usuario. Esto es algo que el equipo de LastPass ha estado haciendo durante años con el fin de proteger de manera preventiva a nuestros usuarios.
<h2><strong>¿Qué medidas hemos tomado?</strong></h2>
En el caso del reciente <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">incidente que afectó a LinkedIn</a>, la vulneración de los datos en sí se produjo hace algunos años, pero es ahora cuando la lista de nombres de usuario y contraseñas ha sido revelada en la Web. Hemos respondido deshabilitando las cuentas de usuario de LastPass para las que se han filtrado las credenciales. Queremos dejar claro que<em> no ha habido ningún robo o problema de seguridad que haya afectado a LastPass. </em>Hemos tomado esta medida con el único fin de proteger a aquellos usuarios que han reutilizado sus contraseñas en otros sitios web que han sido hackeados.
<h2><strong>¿Tiene LastPass mi contraseña maestra?</strong></h2>
No, LastPass nunca tiene su contraseña maestra. Cuando se roban contraseñas de otras Webs, LastPass procesa esos datos con scripts que simulan un intento de iniciar sesión. El script ejecuta la función <em>hash</em> PBKDF2 estándar que utiliza LastPass cada vez que inicia sesión para saber si la contraseña que ha introducido es correcta. A continuación comparamos el resultado del script con el <em>hash </em>de contraseñas que tenemos almacenado en nuestra base de datos. Si los <em>hashes </em>de contraseñas coinciden, significa que la contraseña fue reutilizada en su cuenta de LastPass y deshabilitaremos esa cuenta.
<h2><strong>¿Qué pueden hacer los usuarios de LastPass?</strong></h2>
Si su cuenta ha sido deshabilitada, se le solicitará que inicie sesión desde una ubicación de confianza para verificar y volver a habilitar su cuenta. Para rehabilitar su cuenta:
<ol>
 	<li>Inicie sesión a través de la bóveda web <a href="https://lastpass.com/">https://lastpass.com/</a></li>
 	<li>A continuación se activará el proceso de rehabilitación.</li>
 	<li>Desde allí, inicie sesión a través de la extensión o la bóveda web y será dirigido para restablecer su contraseña maestra.</li>
</ol>
Si ve un mensaje que le indica que su cuenta está desactivada, cuando trate de iniciar sesión simplemente diríjase a <a href="https://lastpass.com/">https://lastpass.com</a> para iniciar el proceso de verificación. Si está iniciando sesión desde un dispositivo desconocido o una nueva ubicación, será redirigido a otro dispositivo de confianza, o se le pedirá que inicie sesión desde una ubicación anterior (dirección IP) a través de la cual accedió a su cuenta en otras ocasiones.

Una vez finalice este proceso, desbloqueará su cuenta y podrá actualizar su contraseña maestra con una contraseña nueva y más segura.

Posteriormente recomendamos usar el <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">Reto de Seguridad LastPass</a> para buscar en su bóveda otras Webs en las que esté reutilizando las contraseñas. LastPass puede ayudarle a sustituir esas contraseñas por otras contraseñas únicas y más seguras. Incluso aunque no haya reutilizado su contraseña maestra de LastPass, es un buen momento para ejecutar el Reto de Seguridad y asegurarse de que utiliza una contraseña diferente para cada sitio web.

Cómo proteger a los usuarios de LastPass frente a la reutilización de las contraseñas

En las últimas semanas seguramente se habrá cansado de ver en las noticias que muchas empresas muy importantes, como <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-[..]

La semana pasada se <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=dQRos2ioqymOta3j_KIZ1NV2JA28eddehc45d4X9JT8&amp;e=">publicó</a> que se están vendiendo en el mercado negro unos 117 millones de e-mails y contraseñas de LinkedIn de una vulneración de seguridad que tuvo lugar en 2012. La base de datos hackeada contiene 167 millones de cuentas y, de todas ellas, unos 117 millones tienen e-mails y contraseñas cifrados. Hace unas semanas <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__www.reuters.com_article_us-2Dcyber-2Dpasswords-2DidUSKCN0XV1I6&amp;d=CwMFaQ&amp;c=k6LEwkJiSX1kJxtgPu1uYQ&amp;r=ApUwt6UMibxcn49Us_-gW1tr9n68DpHnKhReCv--jwM&amp;m=Wu-SitMJqk5sZhZZjDgn3RmyJAY-NFZEvqICUvZj9no&amp;s=EIdMC-wO_aCJlqb7YuXRn8mAS2Mn7Ol0Aher2ktUhvs&amp;e=">saltó la noticia</a> de que se habían hackeado más de 250 millones de direcciones de e-mail, incluidas direcciones de Google, Yahoo y Microsoft. Se piensa que las credenciales robadas se han visto en situación de riesgo, pero aún se desconoce hasta dónde puede llegar la amenaza. Cuando se produce una vulnerabilidad los detalles no suelen ser muy precisos, y siempre se recomienda adoptar medidas de precaución para garantizar la seguridad de sus cuentas.

<strong>Cambie sus contraseñas de LinkedIn, Google, Yahoo y Microsoft:</strong> las contraseñas más seguras y mejores son aquellas que son largas, exclusivas y aleatorias. Asegúrese de no elegir una contraseña que esté utilizando para otro servicio. Las contraseñas exclusivas garantizan que, si se produce una vulneración de seguridad como esta, los hackers no podrán utilizarlas para acceder a sus otras cuentas. ¿La mejor opción? Utilizar un <a href="https://lastpass.com/generatepassword.php">generador de contraseñas</a> para garantizar el máximo nivel de seguridad.

<strong>Adopte medidas proactivas con otras contraseñas</strong><strong>:</strong> enfréntese al <a href="https://helpdesk.lastpass.com/lastpass-security-challenge/">Reto de Seguridad LastPass</a> y compruebe cuáles de sus contraseñas son débiles, están en situación de riesgo o se utilizan en varios servicios. Preste especial atención a aquellas cuentas en las que puede haber utilizado sus contraseñas de Google, Yahoo o Microsoft. Este reto le ayudará a tomar las medidas necesarias y, además, le permitirá cambiar estas contraseñas automáticamente.

&nbsp;

<a href="https://lastpass.com/challenge" target="_blank"><button>Reto de Seguridad LastPass</button></a>

<strong>Habilite la autenticación de doble factor (2FA): </strong>cuando activa la autenticación de doble factor en sus cuentas más importantes, si un hacker dispone de su contraseña no podrá acceder a la cuenta sin tener un segundo dato, como un código de un solo uso generado con una aplicación instalada en su teléfono o una huella dactilar. El doble factor tiene un valor incalculable para su dirección de correo electrónico, ya que esta es básicamente la llave de todo lo que utiliza en Internet, incluida su cuenta bancaria, sus tarjetas de crédito, sus inversiones, etc. Si es usuario de LastPass, le recomendamos que <a href="https://blog.lastpass.com/2015/01/the-one-thing-you-can-do-right-now-to-be-more-secure-online-multifactor-authentication.html">configure la autenticación de doble factor</a> en su cuenta de LastPass. A continuación le facilitamos los vínculos de acceso a las instrucciones de configuración de doble factor de las empresas que se han visto en situación de riesgo:
<ol>
 	<li><a href="https://www.linkedin.com/help/linkedin/answer/544">LinkedIn</a></li>
 	<li><a href="https://www.google.com/landing/2step/" target="_blank" rel="noopener noreferrer">Google</a></li>
 	<li><a href="https://help.yahoo.com/kb/SLN5013.html" target="_blank" rel="noopener noreferrer">Yahoo</a></li>
 	<li><a href="http://windows.microsoft.com/en-us/windows/two-step-verification-faq" target="_blank" rel="noopener noreferrer">Microsoft</a></li>
</ol>
Lamentablemente, lo ocurrido con las contraseñas de los usuarios de Google, Yahoo y Microsoft es cada vez más frecuente, y es muy probable que en el futuro sigamos siendo testigos de vulneraciones de la seguridad similares. Asegurarse de que su seguridad está al nivel exigido resulta especialmente importante en estas cuentas llave que ofrecen acceso al resto de su vida en Internet. Una vulneración de la seguridad de esta magnitud puede provocar inquietud, pero adoptar estos pasos le ofrecerá tranquilidad y protegerá su información confidencial.

Pasos preventivos para garantizar su seguridad después de una vulneración del correo electrónico

La semana pasada se <a href="https://urldefense.proofpoint.com/v2/url?u=http-3A__motherboard.vice.com_read_another-2Dday-2Danother-2Dhack-2D117-2Dmillion-2Dlinkedin-2Demails-2Dand-2Dpassword&amp;d=CwM[..]

¿Cree que los ataques de phishing son un tipo de ataque del pasado? No esté tan seguro. A pesar de que el filtrado del spam del correo electrónico cada vez es más inteligente, el  <a href="http://www.antiphishing.org/">Anti-Phishing Working Group</a> informa de un aumento del 18% en los informes de phishing únicos en el último trimestre de 2014, y los expertos en materia de seguridad predicen que su crecimiento continuará durante el 2016.

El phishing sigue siendo una táctica muy habitual con la que robar información como contraseñas, códigos de seguridad y números de tarjetas de crédito, y también para introducir software malintencionado en los dispositivos personales y los sistemas de la empresa. Hasta una cuenta de LastPass puede ser el objetivo de un ataque de phishing. Para la protección frente al phishing es necesario que el software que usamos tome mejores decisiones y contar con una mejor preparación individual como primera línea de defensa de un ataque.

En este documento exponemos las formas en las que LastPass combate el phishing, y qué es lo que puede hacer para mejorar sus capacidades de detección de phishing y proteger su información más confidencial cuando se produce una situación inesperada.
<h2>¿Qué es el phishing?</h2>
Los ataques de phishing adoptan numerosas formas. Se envían como correos electrónicos en los que se suplanta a su banco para solicitarle la confirmación de actividad en su cuenta. También adoptan la forma de facturas falsas en las que se le pide que descargue el documento adjunto para confirmar su compra. Pueden ser anuncios o vínculos malintencionados publicados en las redes sociales. Los atacantes pueden incluso dirigirle a una página de inicio de sesión que es una copia casi exacta de un sitio web fiable y reconocido que usted usa.

El spear-phishing adopta un carácter todavía más personal. Los atacantes enviarán correos electrónicos que dicen ser de un compañero de trabajo o jefe, o incluso de su departamento de TI. Pueden hacer que la solicitud parezca ser legítima utilizando los datos que han obtenido sobre usted para solicitar más información o conseguir que descargue un archivo malintencionado o envíe dinero.
<h2>Cómo detectar los ataques de phishing</h2>
Cómo detectar los ataques de phishing
<ul>
	<li><strong>Revise la URL</strong>: mire la barra de direcciones del sitio web que ha abierto, o coloque el cursor del ratón sobre un vínculo para ver la URL en la esquina inferior izquierda del navegador y confirmar si se trata de una URL de confianza o de un impostor, antes de ejecutar la acción. Por ejemplo, cuando esté en LastPass, siempre verá <a href="https://lastpass.com">https://lastpass.com</a> o <a href="https://subdominio.lastpass.com">https://subdominio.lastpass.com</a>. Sin embargo, una URL de phishing podría aparecer como <a href="http://lastpass.otrodominio.com">http://lastpass.otrodominio.com</a>. En este caso, el dominio real es “otrodominio.com” y debe evitarse.

[caption id="attachment_48365" align="aligncenter" width="320"]<img class="size-full wp-image-48365" src="https://cdn.lputil.com/wp-content/uploads/949128864566150468.jpg" alt="Image credit: Lifehacker" width="320" height="110" /> Image credit: <a href="http://lifehacker.com/5873050/how-to-boost-your-phishing-scam-detection-skills">Lifehacker</a></figure></div></li>
</ul>
<ul>
	<li><strong>Compruebe quién es el destinatario del correo electrónico</strong>: mantenga una actitud escéptica con respecto a los correos electrónicos enviados a “Estimado cliente” o en los que no se incluya ningún saludo. A estas alturas, la mayoría de tiendas y marcas se dirigen al usuario por su nombre. Los ataques de spear-phishing suelen estar dirigidos a usted, así que esta no siempre puede considerarse una medida a prueba de errores.</li>
</ul>
<ul>
	<li><strong>Abra el sitio web usted mismo</strong>: Si no está del todo seguro, abra una nueva pestaña o ventana en el navegador, escriba la URL directamente (o ábrala desde el gestor de contraseñas) y así tendrá la certeza de que está visitando el sitio legítimo.<img class="aligncenter size-full wp-image-48385" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.14.38-AM-2.png" alt="Screen Shot 2016-01-20 at 9.14.38 AM (2)" width="458" height="186" /></li>
</ul>
<ul>
	<li><strong>Compruebe si el gestor de contraseñas muestra un inicio de sesión almacenado</strong>: LastPass puede ayudarle a protegerse frente al phishing no completando automáticamente su inicio de sesión en un sitio web fraudulento. Como el dominio no coincide con el que LastPass tiene almacenado, la aplicación no cumplimenta sus datos automáticamente. Si esto ocurre, revise la URL.</li>
</ul>
<ul>
	<li><strong>Cuando vea un lenguaje que le insta a actuar rápido, no se precipite</strong>: todo aquello que le insta a actuar rápidamente podría estar intentando manipularle para que haga algo sin pensar primero..
<ul>
	<li><strong>Plantéese preguntas</strong>: ¿le he pedido a esta persona que me envíe un archivo adjunto? ¿Es extraño que la otra persona actúe de esta forma? Siempre que tenga dudas, mantenga una actitud escéptica y simplemente pregunte.</li>
</ul>
<ul>
	<li><strong>Busque HTTPS:// y el candado</strong>: cuando esté en un sitio web, compruebe siempre en la barra de URL que se está conectando a través de HTTPS, como conexión segura, y de que el icono del candado está presente, lo que indica que el sitio web ha sido verificado por una empresa de seguridad externa. <img class="aligncenter size-full wp-image-48405" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.16.41-AM-2.png" alt="Screen Shot 2016-01-20 at 9.16.41 AM (2)" width="629" height="134" /></li>
</ul>
<h2>Cuando el phishing tiene como objetivo su gestor de contraseñas</h2>
Los ataques de phishing ya no están limitados a los correos electrónicos, anuncios o vínculos malintencionados en las redes sociales. Hay ataques de phishing que incluso pueden tener como objetivo las extensiones que utiliza en su navegador, suplantando incluso al gestor de contraseñas.

Por ejemplo, es posible que un sitio web malintencionado <a href="https://lastpass.com/support.php?cmd=showfaq&amp;id=10072">suplante la extensión del navegador</a> mostrando notificaciones que le solicitan información como su nombre de usuario, la contraseña y un código de autenticación de doble factor. Puede resultar complicado distinguir las notificaciones que proceden del sitio web malintencionado de las que corresponden a la extensión del navegador.
<h2>Cómo le protege LastPass de los ataques de phishing</h2>
<ul>
	<li><strong>Avisando de que la contraseña maestra se ha introducido en una página que no es de LastPass</strong>: LastPass muestra un aviso destacado, incluso antes de que introduzca la contraseña maestra en una página, cada vez que intenta introducir su contraseña maestra de LastPass en una página que no es de LastPass. Sabrá inmediatamente que la contraseña maestra puede haber estado en situación de riesgo y podrá cambiarla.</li>
</ul>
<ul>
	<li><strong>Solicitando verificación de los inicios de sesión procedentes de ubicaciones o dispositivos desconocidos</strong>: LastPass cuenta con un proceso de verificación exigido siempre que intenta iniciar sesión desde una ubicación o un dispositivo desconocidos. Por ello, si introduce su contraseña maestra y sus datos de autenticación de doble factor sin darse cuenta, se frenarán los intentos de uso de esos datos por parte del atacante mediante los pasos de verificación por correo electrónico. El atacante tendría que obtener acceso también a su cuenta de correo electrónico, acceso que también puede reforzarse activando la autenticación de doble factor en su cuenta de correo electrónico. Si ve una solicitud de verificación que no ha iniciado, puede ignorarla tranquilamente y actualizar su contraseña maestra en la Configuración de la cuenta de la Bóveda de LastPass.</li>
</ul>
<ul>
	<li><strong>Evitando el cierre de sesión</strong>:incluso a pesar de que una página malintencionada puede mostrar una notificación falsa de LastPass en la que se afirma que su sesión se ha cerrado y que tiene que iniciar sesión de nuevo, debe comprobar si sigue conectado a la extensión de LastPass y solamente iniciar sesión a través de dicha extensión.</li>
</ul>
Además de adoptar estas medidas de seguridad, estamos recomendando a Google y a otros navegadores que nos ayuden a proteger aún más a nuestros usuarios ofreciéndoles formas seguras de mostrar las notificaciones fuera de la ventana del navegador.
<h2>Cómo puede contribuir a la protección de su cuenta de LastPass</h2>
Además de las medidas de seguridad con las que contamos, también puede mantener la seguridad de su bóveda adoptando las siguientes prácticas recomendadas:
<ul>
	<li><strong>• Inicie sesión siempre desde la extensión de LastPass</strong>. La forma más segura de iniciar sesión en LastPass es haciendo clic en el icono de la extensión en la barra de herramientas del navegador.  <img class="aligncenter wp-image-48425" src="https://cdn.lputil.com/wp-content/uploads/sites/20/2020/04/ncsam2019finalblogbanner.jpg" alt="Screen Shot 2016-01-20 at 9.24.22 AM (2)" width="232" height="325" /></li>
</ul>
<ul>
	<li><strong>No reutilice nunca su contraseña maestra</strong>. Reutilizar la contraseña maestra aumenta el riesgo de que alguien le robe su bóveda. Utilice siempre una contraseña maestra exclusiva para LastPass, y tenga en cuenta nuestra advertencia si escribe su contraseña maestra en cualquier sitio que no sea el inicio de sesión de LastPass.</li>
</ul>
<ul>
	<li><strong>Tenga cuidado de dónde descarga LastPass</strong>. Descargue siempre LastPass solo desde LastPass.com o desde las tiendas de complementos que incluyen su navegador o su dispositivo. No utilice nunca sitios de descargas de terceros, e incluso en las tiendas de complementos, tenga cuidado con las aplicaciones que pueden ser parecidas a LastPass pero presentar el nombre de otro desarrollador y no tener valoraciones.</li>
</ul>
<ul>
	<li><strong>No comparta nunca su contraseña maestra</strong>. El equipo de LastPass <em>nunca</em> le pedirá su contraseña maestra. Recele de cualquier persona que afirme ser de LastPass y le solicite su contraseña maestra. No revele jamás su contraseña.</li>
</ul>
<ul>
	<li><strong>Añada la autenticación de doble factor</strong>. Para que la seguridad sea óptima se necesitan varias capas de protección que reduzcan los riesgos. <a href="http:/helpdesk.lastpass.com/multifactor-authentication-options/">La autenticación de doble factor</a> exige otra información antes de permitirle acceder a su cuenta. A pesar de no ser una medida de protección definitiva, sí que es una medida muy efectiva.</li>
</ul>
<ul>
	<li><strong>Proteja su correo electrónico con una contraseña segura y con la autenticación de doble factor</strong>. Su cuenta de correo electrónico suele incluir información muy valiosa sobre usted y de todo tipo. Protéjala como si su vida digital dependiera de ella, ya que de hecho podría depender de ella. LastPass puede generar una contraseña para su correo electrónico que sea segura pero pronunciable, para que pueda memorizarla si la prefiere. Si su proveedor de correo electrónico ofrece la autenticación de doble factor, actívela.</li>
</ul>
Mantener la seguridad en Internet debe ser un compromiso continuo que deben mantener todas las partes. De la misma forma que LastPass tiene el compromiso de mejorar sus productos a medida que aparecen nuevas amenazas y de colaborar con la comunidad de investigación en materia de seguridad para reforzar nuestro producto, nosotros, como usuarios, tenemos que mantener el compromiso de seguir las prácticas recomendadas en materia de seguridad.</li>
</ul>

Mantener la seguridad ante los ataques de phishing

¿Cree que los ataques de phishing son un tipo de ataque del pasado? No esté tan seguro. A pesar de que el filtrado del spam del correo electrónico cada vez es más inteligente, el  <a href="http://www.[..]

Si ha estado usando la autenticación de dos factores con LastPass (¡y si no lo ha hecho, <a href="https://blog.lastpass.com/es/2015/07/two-factor-authentication-what-it-is-why-you-need-it.html/">entonces realmente debería</a>!), puede que haya usado la opción de “confiar” en su dispositivo. Confiar en un dispositivo dice a LastPass que recuerde que ese ordenador, teléfono, o tablet. La siguiente vez que acceda a LastPass en ese dispositivo, se saltará el paso de autenticación de dos factores. Su cuenta todavía sigue protegida por la autenticación de dos factores, pero añadirá la comodidad de saltarse el segundo paso de acceso en su dispositivo de confianza.

Ahora, los dispositivos de confianza expirarán después de 30 días para añadir más seguridad a su cuenta de LastPass.
<h2><strong>Aquí está todo lo que necesita saber:</strong></h2>
<ul>
	<li>Si está usando actualmente la autenticación de dos factores con LastPass y ha marcado un dispositivo como de confianza, verá la solicitud de re-introducir su autenticación de dos factores dentro de los siguientes 30 días.</li>
	<li>Sin importar si ha estado usando de manera activa o no el dispositivo marcado como de confianza, se le pedirá que introduzca su información de autenticación de dos factores cada 30 días.</li>
	<li>Puede volver a confiar en el dispositivo en ese momento si lo prefiere.</li>
	<li>El cambio se aplica a ambos dispositivos, de sobremesa y móviles.</li>
	<li>Actualmente, no existe manera de ajustar los nuevos requisitos de seguridad de volver a solicitar los dispositivos de confianza cada 30 días.</li>
</ul>
<h2><b>¿Por qué expirar el estatus de “confianza”?</b></h2>
A menudo discutimos cómo de importante es usar la autenticación de dos factores con su cuenta de LastPass. La autenticación de dos factures ayuda a protegerle a accesos no autorizados a su bóveda de LastPass. Desde que lo inicie se le pedirá que introduzca algo que tiene (cómo un código de una app o un YubiKey) o algo suyo (cómo su huella dactilar) antes de que pueda acceder a su cuenta.

Alguien podría robar su contraseña maestra de manera teórica, y todavía no podrían tener acceso a su cuenta sin el código de autenticación de dos factores. Aquí en LastPass somos compatibles con <a href="http://lastpass.com/multifactor-authentication/">más opciones de autenticación de dos factores</a> que cualquier otro gestor de contraseñas, para que así sea capaz de encontrar una opción que se ajuste a sus dispositivos y flujo de trabajo.

Marcar un dispositivo como “de confianza” es muy cómodo, dado que le permite saltarse el paso de autenticación de dos factores en dispositivos específicos, de confianza mientras mantiene los beneficios de seguridad de tenerlo activado. Pero ¿qué pasa si se olvida de que ha marcado un dispositivo como de confianza, y pierde ese dispositivo, o es robado, o alguien se lo pide? Ahora el hecho de que el dispositivo es “de confianza” puede dejar su cuenta de LastPass abierta a amenazas.

Al expirar el dispositivo de confianza cada 30 días, podemos ayudarle a confirmar cada ese tiempo que de hecho quiere continuar confiando en ese dispositivo.
<h2><b>Cómo eliminar dispositivos de confianza</b></h2>
Si alguna vez necesita que alguien haga un mantenimiento de sus dispositivos de confianza, aquí tiene como puede revisar los dispositivos que ha marcado como de confianza y eliminar aquellos que ya no quiere tener como de confianza:
<ol>
	<li>Login to LastPass.</li>
	<li>Abra su bóveda de LastPass.</li>
	<li>Ejecute “Configuración de la Cuenta”.</li>
	<li>Para revisar dispositivos de sobremesa, haga clic en la pestaña de “Dispositivos de Confianza”.</li>
	<li>Para revisar los dispositivos móviles, haga clic en la pestaña “Dispositivos Móviles” .</li>
	<li>Revise los dispositivos que tiene clasificado.</li>
	<li>Use la opción “x” para eliminar cualquier dispositivo que ya no quiera como de confianza.</li>
</ol>
<h2><strong>Actualización 12/16/2015</strong></h2>
Prefer not to use this security setting? You can now turn it off in your LastPass Vault by launching your Account Settings, selecting the “Show Advanced” opción, and checking the “Skip 30 day expiration for trusted clients” ajuste.

Nuevo en Seguridad: Expirando Dispositivos de Confianza después de 30 Días

Si ha estado usando la autenticación de dos factores con LastPass (¡y si no lo ha hecho, <a href="https://blog.lastpass.com/es/2015/07/two-factor-authentication-what-it-is-why-you-need-it.html/">enton[..]

Boletín de noticias para la comunidad de LastPass:

En nuestro constante esfuerzo para proporcionar la mejor seguridad para los usuarios de LastPass, esta noche nuestro certificado SSL para LastPass.com se cambiará de un certificado SHA-1 a un certificado SHA-256. El nuestro continuará siendo un Certificado de Validación Extendido Thawte (EV).

¿Por qué ahora? Hemos empezado este proceso el año pasado, pero debido al uso continuado de antiguas versiones de XP nuestros esfuerzos se estancaron. Ahora que Google y otros están <a href="http://googleonlinesecurity.blogspot.com/2014/09/gradually-sunsetting-sha-1.html">promocionando activamente SHA-256</a>, estamos seguros de que podemos hacer la transición con un impacto mínimo en nuestra comunidad.

Todos los cambios ocurrirán en un segundo plano, por lo que los usuarios de LastPass no deberían encontrar ningún problema o interrupción del servicio. ¿Sugerencias o quejas? Por favor háganoslas saber en la sección de comentarios más abajo o <a href="https://lastpass.com/supportticket.php">póngase en contacto con nuestro servicio de atención al cliente</a>.
<h2>¿SHA-qué?</h2>
¿Se está preguntando de que trata todo esto?

Sabe buscar el icono del "candado" y HTTPS al principio de la dirección URL de la web. Esos detalles indican que está en una conexión segura en la web. Esa conexión segura se crea con un certificado SSL (que da la "S" a HTTPS). El certificado SSL, emitido por una Autoridad de Certificados (CA), encripta su conexión y verifica que se ha conectado a una web real.

El CA condensa el certificado al ejecutarlo a través de un algoritmo hash de un sentido, luego "firma" criptográficamente esa versión condensada del certificado. La mayoría de las webs que utilizan SSL usan el algoritmo SHA para crear ese hash, siendo SHA-1 es más comúnmente utilizado. Los hashes de un sólo sentido son únicos para cada certificado web. Cuando su navegador evalúa el certificado de una web, calcula el hash SHA-1 por sí mismo, luego lo compara con el hash registrado que la web ofrece como verificación. Si coinciden, el navegador da luz verde y le hace saber que la información es segura.

El problema es que el SHA-1 no es tan fuerte como solía ser. Ahora que los ordenadores son más rápidos y baratos, aumenta el riesgo de que los atacantes puedan desarrollar un certificado y engañar al navegador para que piense que se ha conectado al sitio web adecuado.

Los vendedores ahora están cambiando a la siguiente y más fuerte generación de algoritmo SHA-2 para aumentar la seguridad y protegerse de ataques. SHA-2 crea hashes más largos y ahora mismo es resistente a los ataques a los que SHA-1 es vulnerable. Si utiliza Chrome, puede que haya empezado a ver avisos de certificados con iconos de candados amarillos, que es parte del esfuerzo de Google para acabar con los certificados SHA-1 y que la web siga adelante con los SHA-2.

Al final del día, la transición no tiene un impacto con la experiencia de usuario de LastPass, sino que promueve nuestra misión de mantener sus datos seguros mientras la web evoluciona. Es el mismo LastPass, incluso con una mejor seguridad.

&nbsp;

Gracias por sintonizar,

El Equipo LastPass

Actualización a Certificado SSL: Migrando de SHA-1 a SHA-256

Boletín de noticias para la comunidad de LastPass:

En nuestro constante esfuerzo para proporcionar la mejor seguridad para los usuarios de LastPass, esta noche nuestro certificado SSL para LastPass.c[..]

Las redes sociales estuvieron frenéticas ayer cuando <a href="http://twitch.tv/">Twitch</a>, la plataforma de vídeo y comunidad para gamers más popular del mundo, hizo un anuncio <a href="http://blog.twitch.tv/2015/03/important-notice-about-your-twitch-account/">pidiendo a sus usuarios resetear sus contraseñas</a>.

Pero no se preocupe, Usuarios de LastPass. Tenemos las herramientas para ayudarles, para que pueda cambiar su contraseña de Twitch automáticamente.
<h2>Alertas de seguridad de LastPass en tiempo real</h2>
Si esta registrado en LastPass y tiene una cuenta de Twitch, verá nuestra alerta solicitándole cambiar su contraseña. Notificaciones tanto de escritorio como de las extensiones de LastPass para navegador aparecerán con una breve alerta para que pueda tomar medidas inmediatamente .

<a href="https://cdn.lputil.com/wp-content/uploads/amberbreach.png"><img class="aligncenter size-full wp-image-41915" src="https://cdn.lputil.com/wp-content/uploads/amberbreach.png" alt="TwitchPasswordIncident" width="461" height="290" /></a>

Las alertas están disponibles en cualquier navegador que ejecute <a href="https://lastpass.com/misc_download2.php">la última versión de LastPass</a>. Al hacer clic en una de las notificaciones le llevarán directamente al Desafío de Seguridad de LastPass.
<h2>Cambiar su contraseña automáticamente</h2>
En el Desafío de Seguridad, verá más información acerca del incidente de Twitch y puede actualizar su contraseña con un clic al seleccionar Auto-Cambiar Contraseña.

¡Es así de simple! LastPass hace todo el trabajo de acceder a Twitch, actualizar su contraseña, y almacenar la nueva contraseña en su bóveda de LastPass. Además, verá cualquier web que estuviese utilizando la misma contraseña que su cuenta de Twitch, para que pueda cambiar esas contraseñas, también.
<h2>Qué sabemos acerba del incidente de Twitch</h2>
Aunque hay pocos detalles, parece que hubo un acceso no autorizado a algunas cuentas de usuarios, por lo que Twitch a expirado todas las contraseñas y está pidiendo a sus usuarios que reseteen las suyas la siguiente vez que accedan. Por ahora <a href="http://thenextweb.com/insider/2015/03/23/twitch-accounts-were-compromised-passwords-being-reset/">no está claro si ha habido una filtración</a>, pero los usuarios deben ser proactivos en proteger sus cuentas al resetear sus contraseñas tan pronto como sea posible.

Es muy importante utilizar fuertes, contraseñas diferentes para cada cuenta y aplicación. Ahora es el momento de hacer cambios si está re-utilizando contraseñas. El <a href="https://lastpass.com/?securitychallenge=1">Desafío de Seguridad de LastPass</a> le avisará de cualquier contraseña débil o duplicada que ha guardado en LastPass. Use <a href="https://blog.lastpass.com/es/2014/12/introducing-auto-password-changing-with.html/">Auto-Cambio de Contraseña</a> para actualizar contraseñas dónde sea posible, y <a href="https://helpdesk.lastpass.com/generating-a-password/#Changing+an+Old+Password+to+a+Generated+One#Changing+an+Old+Password+to+a+Generated+One">utilice el generador de contraseñas</a> para todas las otras webs para crear contraseñas seguras, e indescifrables.
<h2>¿Nuevo en la idea de un gestor de contraseñas?</h2>
Las contraseñas pueden ser algo frustrante con lo que tratar, y seamos sinceros, todos somos pésimos al crear contraseñas que sean lo suficientemente seguras. Pero tenemos cómo arreglarlo. LastPass es un gestor de contraseñas que recuerda todas sus contraseñas por usted y crea contraseñas seguras para cada cuenta en cada web y cada app.

Solo tiene que recordar su contraseña maestra de LastPass, y LastPass se encargará del resto. Registrarse es gratis y es fácil empezar, y se preguntará como ha podido sobrevivir sin él.

¿Usa Twitch? Cambie Su Contraseña Ahora.

Las redes sociales estuvieron frenéticas ayer cuando <a href="http://twitch.tv/">Twitch</a>, la plataforma de vídeo y comunidad para gamers más popular del mundo, hizo un anuncio <a href="http://blog.[..]

A principios de semana, un equipo de investigadores descubrieron un fallo importante de seguridad, apodado FREAK, que pone en riesgo las conexiones web seguras y puede exponer potencialmente información sensible. Aunque LastPass no ha sido afectado por la vulnerabilidad, es crítico que los usuarios de LastPass actualicen sus navegadores con parches que pronto estarán disponibles. Aquí está todo lo que necesita saber:
<h2>¿Qué es el fallo FREAK?</h2>
El fallo FREAK afecta SSL/TLS, el protocolo que crea una conexión segura entre usted y la página web. La conexión segura se crea cuando se conecta con HTTPS y tiene un candado en la barra de dirección de navegador. Ese "candado" significa que sus datos personales están encriptados cuando se mandan a la página web.

FREAK, sin embargo, puede ser exploiteado con un ataque man-in-the-middle. De acuerdo a <a href="https://freakattack.com/">freakattack.com</a>, "Permite a un atacante interceptar conexiones HTTPS entre clientes vulnerables [dispositivos] y servidores y forzarles a usar encriptaciones debilitadas, a las cuales el atacante puede acceder para robar o manipular datos sensibles."

El fallo FREAK afecta a la mayoría de navegadores:
<ul>
	<li><a href="https://technet.microsoft.com/en-us/library/security/3046015">Internet Explorer</a></li>
	<li>Chrome en Android y Mac OS – Parche disponible en Mac OS</li>
	<li>Safari en Mac OS e iOS – Se espera parche la semana que viene</li>
	<li>Stock Android Browser</li>
	<li>Navegador BlackBerry</li>
	<li>Opera (Mac OS, Linux)</li>
</ul>
Puede comprobar si su dispositivo o navegador es vulnerable visitando <a href="https://freakattack.com/">https://freakattack.com</a>. También han proporcionado una lista de<a href="https://freakattack.com/#alexa">Alexa’s top domains</a> que han sido afectados por FREAK.
<h2>¿Cómo afecta esto a LastPass?</h2>
Los usuarios de LastPass están seguros. Nuestros servidores no son vulnerables al fallo FREAK. Como siempre, su bóveda de LastPass está segura, y su contraseña maestra nunca se transmite. LastPass siempre encripta los datos localmente con AES-256 antes de sincronizarlo de manera segura. Vulnerabilidades como esta son exactamente por qué no debe transmitir su contraseña maestra.

Para aquellos que utilicen los navegadores integrados en las aplicaciones móviles de LastPass, usan la plataforma predeterminada del navegador, que se sabe que están afectados. Nuestros navegadores integrados serán actualizados cuando esas plataformas resuelvan el fallo. Mientras tanto, puede navegar de manera segura con Firefox mobile.

La comunicación entre nuestras aplicaciones móviles y nuestras servidores no son vulnerables, lo que significa que no es posible interceptar sus datos de la bóveda cuando vienen y ven de nuestros servidores a sus dispositivos móviles.
<h2>Acciones que debe hacer:</h2>
<strong>Actualizar con todos los parches cuando estén disponibles.</strong> Microsoft, Apple, y Google lanzarán parches en los próximos días, por lo que es crítico actualizar su sistema cuando esos parches estén disponibles.

<strong>Utilice Firefox para navegar de manera segura.</strong> Hasta que los parches estén disponibles para los exploradores afectados mencionados antes, querrá usar Firefox en iOS, Androide, y Mac OS para navegar de manera segura por la web y conectarse a sus cuentas en línea.

<strong>Reemplazar contraseñas vulnerables.</strong> A pesar de que es muy improbable que haya sido atacado, ya que los dispositivos y webs están parcheadas puede ser un buen momento para cambiar las contraseñas de cualquier cuenta que se haya accedido desde cualquier dispositivo que haya sido vulnerable. También puede usar el <a href="https://lastpass.com/index.php?securitychallenge">Desafío de Seguridad de LastPass</a> para revisar la fortaleza de sus contraseñas. Nuestro <a href="https://blog.lastpass.com/es/2014/12/introducing-auto-password-changing-with.html/">Auto-Cambio de Contraseña</a> también le ayudará a reemplazar las contraseñas automáticamente. Es importante usar una diferente, fuerte contraseña en cada web, para que la contraseña robada de una web no pueda ser usada para acceder a cualquier otra de sus cuentas.

Como siempre, monitorizaremos la situación mientras acontece y actualizaremos a nuestra comunidad cuando sea necesario.

El Fallo FREAK: Lo Que Necesita Saber.

A principios de semana, un equipo de investigadores descubrieron un fallo importante de seguridad, apodado FREAK, que pone en riesgo las conexiones web seguras y puede exponer potencialmente informaci[..]

Blog

Blog

Últimas noticias

Noticias del sector

LastPass para administradores

LastPass Labs

Novedades sobre productos

Trucos y consejos

Noticias sobre seguridad