Aos nossos clientes LastPass
Quero compartilhar com voc&ecirc;s uma atualiza&ccedil;&atilde;o importante sobre o incidente de seguran&ccedil;a que divulgamos em 22 de dezembro de 2022.&nbsp;&nbsp;Chegamos ao fim de uma investiga&ccedil;&atilde;o minuciosa e n&atilde;o identificamos nenhuma atividade do agente da amea&ccedil;a desde 26 de outubro de 2022.
No decorrer da nossa investiga&ccedil;&atilde;o, obtivemos muito mais informa&ccedil;&otilde;es sobre o que aconteceu e estamos aqui hoje para compartilhar as novas descobertas. No mesmo per&iacute;odo, investimos uma quantidade significativa de tempo e esfor&ccedil;o em fortalecer nossa seguran&ccedil;a e aprimorar as opera&ccedil;&otilde;es gerais de seguran&ccedil;a. Na atualiza&ccedil;&atilde;o de hoje, abordarei tais medidas e destacarei etapas de seguran&ccedil;a adicionais que est&atilde;o sendo realizadas.
Essa atualiza&ccedil;&atilde;o est&aacute; organizada da seguinte forma:
<ul>
    <li><strong>O que aconteceu e quais provid&ecirc;ncias foram tomadas?</strong></li>
    <li><strong>Quais dados foram acessados?</strong></li>
    <li><strong>Quais provid&ecirc;ncias voc&ecirc;s devem tomar para garantir a prote&ccedil;&atilde;o pessoal ou da empresa?</strong></li>
    <li><strong>O que fizemos para proteger o LastPass&nbsp;</strong></li>
    <li><strong>O que voc&ecirc;s podem esperar de n&oacute;s</strong></li>
</ul>
Temos o privil&eacute;gio de atender milh&otilde;es de usu&aacute;rios e mais de 100.000 empresas, e queremos garantir que todos os nossos clientes tenham as informa&ccedil;&otilde;es necess&aacute;rias para esclarecer quaisquer d&uacute;vidas.&nbsp;Dado o volume de informa&ccedil;&otilde;es que compartilharemos hoje, organizamos essa atualiza&ccedil;&atilde;o em resumos que trazem links incorporados com informa&ccedil;&otilde;es mais detalhadas sobre cada t&oacute;pico.
N&oacute;s ouvimos e levamos a s&eacute;rio o feedback de que dever&iacute;amos ter nos comunicado com mais frequ&ecirc;ncia e detalhes ao longo desse processo. A dura&ccedil;&atilde;o da investiga&ccedil;&atilde;o dificultou muito isso, mas entendemos e lamentamos a frustra&ccedil;&atilde;o que nossas comunica&ccedil;&otilde;es iniciais causaram tanto &agrave;s empresas quanto aos usu&aacute;rios que confiam em nossos produtos. Ao compartilhar esses detalhes adicionais hoje, e em nossa abordagem daqui para frente, estamos determinados a fazer o que &eacute; certo para nossos clientes e tornar nossa comunica&ccedil;&atilde;o mais eficaz.
Caso prefiram ir direto para as a&ccedil;&otilde;es recomendadas do LastPass para proteger sua conta ou sua empresa, usu&aacute;rios em geral podem clicar <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer">aqui</a> e administradores de empresas <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer">aqui</a>.
<h3>O QUE ACONTECEU E QUAIS PROVID&Ecirc;NCIAS FORAM TOMADAS?</h3>
Os dois incidentes que divulgamos no ano passado afetaram o LastPass e nossos clientes. Nenhum dos incidentes foi causado por qualquer defeito do produto LastPass ou acesso n&atilde;o autorizado a &mdash; ou uso indevido de &mdash; sistemas de produ&ccedil;&atilde;o. Em vez disso, o agente da amea&ccedil;a explorou uma vulnerabilidade em um software de terceiros, burlou os controles existentes e, por fim, acessou ambientes de armazenamento de backup e desenvolvimento de n&atilde;o produ&ccedil;&atilde;o.
Compartilhamos informa&ccedil;&otilde;es t&eacute;cnicas, indicadores de comprometimento (IOCs) e t&aacute;ticas, t&eacute;cnicas e procedimentos (TTPs) do agente da amea&ccedil;a com as autoridades competentes e nossos parceiros forenses e de intelig&ecirc;ncia de amea&ccedil;as. At&eacute; o momento, no entanto, a identidade do agente da amea&ccedil;a e sua motiva&ccedil;&atilde;o permanecem desconhecidas. Ele n&atilde;o fez contato ou exig&ecirc;ncias, e n&atilde;o detectamos atividade clandestina cr&iacute;vel indicando que o agente da amea&ccedil;a esteja se dedicando ativamente &agrave; comercializa&ccedil;&atilde;o ou venda de qualquer informa&ccedil;&atilde;o obtida durante os incidentes.
<strong>Resumo do Incidente 1</strong>: o laptop corporativo de um engenheiro de software foi comprometido, permitindo que o agente de amea&ccedil;a n&atilde;o autorizado obtivesse acesso a um ambiente de desenvolvimento baseado em nuvem e roubasse c&oacute;digos-fonte, informa&ccedil;&otilde;es t&eacute;cnicas e certos segredos internos do sistema LastPass. Nenhum dado de cliente ou cofre foi obtido durante esse incidente, pois n&atilde;o h&aacute; dados de clientes ou cofres no ambiente de desenvolvimento. &nbsp;Declaramos o incidente encerrado, mas depois descobrimos que as informa&ccedil;&otilde;es roubadas no primeiro incidente foram usadas para identificar alvos e iniciar o segundo incidente.
Em resposta ao primeiro incidente, mobilizamos nossas equipes internas de seguran&ccedil;a, bem como recursos da Mandiant. &nbsp;Como parte do processo de conten&ccedil;&atilde;o, erradica&ccedil;&atilde;o e recupera&ccedil;&atilde;o, tomamos as seguintes provid&ecirc;ncias:
<ul>
    <li>Removemos o ambiente de desenvolvimento e criamos um novo para garantir total conten&ccedil;&atilde;o e erradica&ccedil;&atilde;o.</li>
    <li>Implantamos controles e tecnologias de seguran&ccedil;a adicionais para complementar os controles existentes.</li>
    <li>Alternamos todos os segredos de texto n&atilde;o criptografado relevantes usados por nossas equipes e quaisquer certificados expostos.</li>
</ul>
Detalhes sobre o primeiro incidente e a&ccedil;&otilde;es corretivas podem ser encontrados <a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">aqui</a>.
<strong>Resumo do Incidente 2</strong>: o agente da amea&ccedil;a tinha como alvo um engenheiro s&ecirc;nior de DevOps ao explorar um software vulner&aacute;vel de terceiros. O agente da amea&ccedil;a tirou proveito da vulnerabilidade para distribuir malware, burlou os controles existentes e, por fim, obteve acesso n&atilde;o autorizado a backups na nuvem. Os dados acessados a partir desses backups inclu&iacute;am dados de configura&ccedil;&atilde;o do sistema, segredos de API, segredos de integra&ccedil;&atilde;o de terceiros e dados criptografados e n&atilde;o criptografados do cliente LastPass.
Em resposta ao segundo incidente, mobilizamos novamente nossa equipe de resposta a incidentes e a Mandiant. Como parte de nossas atividades cont&iacute;nuas de conten&ccedil;&atilde;o, erradica&ccedil;&atilde;o e recupera&ccedil;&atilde;o relacionadas ao segundo incidente, tomamos as seguintes provid&ecirc;ncias:
<ul>
    <li>Analisamos os recursos de armazenamento baseado em nuvem do LastPass e aplicamos pol&iacute;ticas e controles adicionais.</li>
    <li>Analisamos e alteramos os controles de acesso privilegiado existentes.</li>
    <li>Alternamos segredos e certificados relevantes que foram acessados pelo agente da amea&ccedil;a.</li>
</ul>
Detalhes adicionais sobre o ataque e a&ccedil;&otilde;es corretivas podem ser encontrados <a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener noreferrer">aqui</a>.
<h3>QUAIS DADOS FORAM ACESSADOS?</h3>
Conforme detalhado nos resumos dos incidentes, o agente da amea&ccedil;a roubou dados de propriedade exclusiva do LastPass e dados de clientes durante os dois incidentes, incluindo o seguinte:
<strong>Resumo dos dados acessados no Incidente 1:</strong>
<ul>
    <li>Desenvolvimento sob demanda baseado em nuvem e reposit&oacute;rios de c&oacute;digo-fonte &mdash; isso incluiu 14 dos 200 reposit&oacute;rios de software.</li>
    <li>Scripts internos dos reposit&oacute;rios &mdash; continham segredos e certificados do LastPass.</li>
    <li>Documenta&ccedil;&atilde;o interna &mdash; informa&ccedil;&otilde;es t&eacute;cnicas que descreviam como o ambiente de desenvolvimento operava.</li>
</ul>
<strong>Resumo dos dados acessados no Incidente 2:</strong>
<ul>
    <li>Segredos de DevOps &mdash; segredos restritos que foram usados para obter acesso ao armazenamento de backup baseado em nuvem.</li>
    <li>Armazenamento de backup baseado em nuvem &mdash; continha dados de configura&ccedil;&atilde;o, segredos de API, segredos de integra&ccedil;&atilde;o de terceiros, metadados de clientes e backups de todos os dados do cofre dos clientes. Todos os dados confidenciais do cofre dos clientes, exceto URLs, caminhos de arquivo para o software LastPass Windows ou macOS instalado e certos casos de uso envolvendo endere&ccedil;os de e-mail, foram criptografados usando nosso modelo de conhecimento zero e s&oacute; podem ser descriptografados com uma chave de criptografia exclusiva derivada da senha mestre de cada usu&aacute;rio. Vale lembrar que as senhas mestre dos usu&aacute;rios finais nunca s&atilde;o de conhecimento do LastPass e n&atilde;o s&atilde;o armazenadas ou mantidas pelo LastPass, portanto, elas n&atilde;o estavam entre os dados que foram exfiltrados.</li>
    <li>Backup do LastPass MFA/banco de dados de federa&ccedil;&atilde;o &mdash; continha c&oacute;pias de seeds do LastPass Authenticator, n&uacute;meros de telefone usados para a op&ccedil;&atilde;o de backup da MFA (se ativada), bem como um componente de conhecimento compartilhado (a &ldquo;chave&rdquo; K2) usado para a federa&ccedil;&atilde;o do LastPass (se ativada). Esse banco de dados foi criptografado, mas a chave de descriptografia armazenada separadamente estava nos segredos roubados pelo agente da amea&ccedil;a durante o segundo incidente.</li>
</ul>
Informa&ccedil;&otilde;es detalhadas sobre os dados espec&iacute;ficos do cliente afetados por esses incidentes podem ser encontradas <a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener noreferrer">aqui</a>.
<h3>QUAIS PROVID&Ecirc;NCIAS VOC&Ecirc;S DEVEM TOMAR PARA GARANTIR A PROTE&Ccedil;&Atilde;O PESSOAL OU DA EMPRESA?</h3>
Para auxiliar nossos clientes da melhor maneira poss&iacute;vel em seus pr&oacute;prios esfor&ccedil;os de resposta a incidentes, preparamos dois boletins de seguran&ccedil;a: um para nossos usu&aacute;rios Free, Premium e Families e outro espec&iacute;fico para nossos usu&aacute;rios Business e Teams. Cada boletim de seguran&ccedil;a traz informa&ccedil;&otilde;es destinadas a ajudar nossos clientes a proteger a conta LastPass e responder a esses incidentes de seguran&ccedil;a de uma forma que acreditamos atender &agrave;s suas pr&oacute;prias necessidades pessoais ou ao perfil e ambiente de seguran&ccedil;a da organiza&ccedil;&atilde;o em que atuam.
<ul>
    <li><strong>Boletim de seguran&ccedil;a: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener noreferrer"><strong>A&ccedil;&otilde;es recomendadas</strong></a><strong> para clientes LastPass Free, Premium e Families. </strong>Este boletim explica em detalhes como nossos usu&aacute;rios Free, Premium e Families podem realizar uma revis&atilde;o de configura&ccedil;&otilde;es importantes do LastPass projetadas para ajudar a proteger a conta ao confirmar que as pr&aacute;ticas recomendadas est&atilde;o sendo seguidas.</li>
    <li><strong>Boletim de seguran&ccedil;a: </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener noreferrer"><strong>A&ccedil;&otilde;es recomendadas</strong></a><strong> para administradores do LastPass Business. </strong>Este boletim detalha como os administradores de nossos clientes Business e Teams podem realizar uma avalia&ccedil;&atilde;o de risco da configura&ccedil;&atilde;o de conta do LastPass e das integra&ccedil;&otilde;es de terceiros, al&eacute;m de trazer informa&ccedil;&otilde;es relevantes para clientes federados e n&atilde;o federados.</li>
</ul>
Caso tenham alguma d&uacute;vida sobre as a&ccedil;&otilde;es recomendadas, n&atilde;o deixem de entrar em contato. O suporte t&eacute;cnico e a equipe de sucesso do cliente est&atilde;o &agrave; disposi&ccedil;&atilde;o.
<h3>O QUE FIZEMOS PARA PROTEGER O LASTPASS </h3>
Desde agosto, implantamos v&aacute;rias novas tecnologias de seguran&ccedil;a em nossos data centers, infraestrutura e ambientes de nuvem para refor&ccedil;ar ainda mais nossa postura de seguran&ccedil;a. Grande parte dessas medidas j&aacute; estava planejada e foi feita em tempo recorde, pois hav&iacute;amos iniciado esse trabalho antes do primeiro incidente.
Tamb&eacute;m priorizamos e iniciamos investimentos significativos em seguran&ccedil;a, privacidade e boas pr&aacute;ticas operacionais. Realizamos uma revis&atilde;o abrangente de nossas pol&iacute;ticas de seguran&ccedil;a e incorporamos altera&ccedil;&otilde;es para restringir acessos e privil&eacute;gios quando apropriado. Conclu&iacute;mos uma an&aacute;lise abrangente dos controles e configura&ccedil;&otilde;es existentes, e fizemos as altera&ccedil;&otilde;es necess&aacute;rias para fortalecer os ambientes existentes. Tamb&eacute;m iniciamos o trabalho para expandir o uso de criptografia em nossa infraestrutura de aplicativos e backup. Por fim, come&ccedil;amos a buscar iniciativas arquitet&ocirc;nicas de longo prazo para ajudar a impulsionar a evolu&ccedil;&atilde;o da plataforma no LastPass.
Voc&ecirc;s podem clicar <a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener noreferrer">aqui</a> para ver uma lista do trabalho que foi conclu&iacute;do e que est&aacute; atualmente em nosso roteiro de seguran&ccedil;a.
<h3>O QUE VOC&Ecirc;S PODEM ESPERAR DE N&Oacute;S</h3>
<p>
Desde nossa publica&ccedil;&atilde;o de 22 de dezembro, falei com muitos de nossos clientes de planos pessoais e empresariais. Reconhe&ccedil;o a frustra&ccedil;&atilde;o de nossos clientes com nossa incapacidade de nos comunicarmos de forma mais imediata, clara e detalhada durante esse evento. Aceito as cr&iacute;ticas e assumo total responsabilidade. Aprendemos muito com isso e estamos comprometidos em tornar nossa comunica&ccedil;&atilde;o mais eficaz daqui para frente. A atualiza&ccedil;&atilde;o de hoje &eacute; uma demonstra&ccedil;&atilde;o desse compromisso.
H&aacute; pouco mais de um ano, a GoTo e seus investidores anunciaram que o LastPass se tornaria uma empresa independente, com uma nova equipe de lideran&ccedil;a. O objetivo &eacute; permitir que a empresa alcance todo o seu potencial e cumprir a promessa de criar a plataforma de refer&ecirc;ncia em gerenciamento de senhas corporativas. No final de abril de 2022, assumi o cargo de CEO para ajudar a liderar essa iniciativa.
Nos &uacute;ltimos oito meses, contratamos novos l&iacute;deres para ajudar a impulsionar o crescimento da empresa e colocar uma nova estrat&eacute;gia em pr&aacute;tica. Isso inclui veteranos e l&iacute;deres reconhecidos do setor de seguran&ccedil;a e tecnologia.
Como parte da pr&oacute;xima fase de crescimento da empresa, fizemos uma aloca&ccedil;&atilde;o multimilion&aacute;ria para aprimorar nosso investimento em seguran&ccedil;a envolvendo pessoas, processos e tecnologia. Esse investimento norteia nosso compromisso de transformar o LastPass em uma empresa l&iacute;der em seguran&ccedil;a cibern&eacute;tica e garantir que tenhamos condi&ccedil;&otilde;es de nos proteger contra amea&ccedil;as futuras.
Obrigado pelo feedback, pela compreens&atilde;o e por todo apoio de sempre.
</p>
<p>Karim Toubba
</p>
<p>CEO, LastPass</p>

Atualização sobre o incidente de segurança e ações recomendadas

Aos nossos clientes LastPass
Quero compartilhar com voc&ecirc;s uma atualiza&ccedil;&atilde;o importante sobre o incidente de seguran&ccedil;a que divulgamos em 22 de dezembro de 2022.&nbsp;&nbsp;Cheg[..]

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
</div>
<h2><strong>Descoberta de incidente: 22 de março de 2017 (14h30)</strong></h2>
Gostaríamos manter nossa comunidade informada sobre as vulnerabilidades descobertas recentemente por Tavis Ormandy, um pesquisador de segurança da equipe Project Zero do Google.

Esta publicação é longa. Portanto, fique à vontade para ler os principais destaques na seção “Visão geral” ou se aprofundar mais nas outras seções.
<h2><strong>Visão geral</strong></h2>
<ul>
 	<li>O pesquisador de segurança Tavis Ormandy identificou recentemente duas vulnerabilidades</li>
 	<li>Até a presente data, nossa investigação não identificou a perda ou comprometimento de dados sensíveis de nenhum usuário</li>
 	<li>Todas extensões receberam correções e estão sendo relançadas para os usuários</li>
 	<li>Nossos aplicativos móveis para Android e iOS não foram afetados</li>
 	<li>Não é necessário alterar a senha mestre</li>
 	<li>Não é necessário alterar a senha de nenhum site</li>
 	<li>Verifique se você está executando as versões mais recentes dos nossos softwares
<ul>
 	<li>A maioria dos usuários recebem atualizações automaticamente, mas as versões mais recentes estão sempre disponíveis em <a href="https://lastpass.com/download">com/download</a></li>
 	<li>Clique no ícone do LastPass &gt; Mais opções &gt; Sobre LastPass para verificar qual é a sua versão
<ul>
 	<li>Firefox: 4.1.36</li>
 	<li>Chrome: 4.1.43.82</li>
 	<li>Edge: 4.1.30 (aguardando aprovação da Microsoft)</li>
 	<li>Opera: 4.1.28 (aguardando aprovação da Opera)</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>O que aconteceu</strong></h2>
Na última semana, o pesquisador Tavis Ormandy, membro do Project Zero, do Google, relatou ter descoberto <a href="https://twitter.com/taviso/status/843965519371812864">duas</a> <a href="https://twitter.com/taviso/status/842205051082821632">vulnerabilidades</a> à nossa equipe que afetaram várias extensões do LastPass para navegadores. Os problemas relatados afetaram usuários pessoais e corporativos.

Para se aproveitar das vulnerabilidades relatadas, o invasor precisaria primeiro atrair o usuário para um site mal-intencionado. Nesse site, Tavis demonstrou como um invasor poderia fazer chamadas pelas APIs do LastPass ou, em alguns casos, executar um código arbitrário se passando por uma entidade confiável. Assim, o invasor conseguiria ter acesso a informações da conta LastPass, como as credenciais de login do usuário, para depois expô-las.
<h2><strong>Bug de sequestro de mensagens na versão 3.3.2 da extensão LastPass para Firefox</strong></h2>
<strong>O que foi descoberto:</strong>
Com base no processo de análise de URL feito pela versão 3.3.2 da nossa extensão para Firefox, sites mal-intencionados poderiam falsificar sites legítimos para enganar a extensão do LastPass, que forneceria as credenciais do usuário naquele site.

Esse bug foi <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">relatado à nossa equipe no ano passado</a> e logo foi corrigido. No entanto, não repassamos a correção para as versões 3.3.x mais antigas da extensão para Firefox, pois a desativação formal delas está programada para abril.

<strong>O que você precisa saber:</strong>
<ul>
 	<li><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">Antes mesmo de sermos informados sobre essas descobertas,</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> anunciamos a desativação</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> das versões 3.x</a> para Firefox.</li>
 	<li>Reforçamos a recomendação de que os nossos usuários atualizem a extensão LastPass para Firefox para a versão 4.1.36, disponível em <a href="https://lastpass.com/download">com/download</a>. Ainda é possível baixar a versão 3.3.4 para Firefox, mas, conforme mencionamos acima, desativaremos as versões 3.x do LastPass nas próximas semanas.</li>
</ul>
<h2><strong>Bug nos conectores de sites</strong></h2>
<strong>O que foi descoberto:</strong>
Um <a href="https://twitter.com/taviso/status/843965519371812864">problema</a> na arquitetura do recurso de integração de clientes afetou extensões que usam esse código (Chrome, Firefox, Edge). Um site mal-intencionado poderia enganar o LastPass se passando por uma entidade confiável para roubar credenciais de site. Os usuários que usam o componente binário do LastPass (menos de 10% da base do LastPass) estavam ainda mais suscetíveis à exploração remota quando atraídos para um site mal-intencionado.

O bug data de agosto de 2016, quando lançamos esse recurso experimental de integração de clientes para nossos usuários. No entanto, o código está presente em todas as extensões do LastPass para Chrome, Firefox e Edge.

Ao tomar ciência da vulnerabilidade, a equipe do LastPass desativou imediatamente o serviço vulnerável e começou a trabalhar na atualização de todas as extensões afetadas.

Enquanto trabalhava na correção de nossa extensão, Tavis <a href="https://twitter.com/taviso/status/844312124541186048">twitou</a> (mas já excluiu o tweet) sobre mais um problema. Para deixar claro, foi o mesmo problema em dois navegadores diferentes. Isso causou confusão sobre a quantidade de problemas e o andamento das correções.

<strong>O que você precisa saber:</strong>
<ul>
 	<li>A fim de eliminar esta vulnerabilidade por completo, enviamos atualizações para todos os usuários e relançamos as versões.</li>
 	<li>As extensões para Chrome e Firefox já estão disponíveis, enquanto as versões para Edge e Opera ainda aguardam a aprovação de suas respectivas lojas de aplicativos.</li>
 	<li>Como parte desse processo, analisamos exaustivamente todas as outras extensões (e nos instaladores) que usam este código.</li>
</ul>
<h2><strong>Linha do tempo completa (horário do Leste dos EUA):</strong></h2>
<strong>Bug de sequestro de mensagens na versão 3.3.2 da extensão LastPass para Firefox</strong>
<ul>
 	<li>10 de março: O LastPass anuncia a desativação formal das versões 3.3.x de sua extensão para Firefox</li>
 	<li>15 de março, 22h45: Anúncio da vulnerabilidade de sequestro de mensagens na versão 3.3.2 da extensão LastPass para Firefox</li>
 	<li>15 de março, 22h48: O LastPass recebe detalhes do bug na versão 3.3.2 de sua extensão para Firefox e inicia suas investigações</li>
 	<li>17 de março, 8h43: O LastPass envia uma correção para a Mozilla com a versão 3.3.4 de sua extensão para Firefox</li>
</ul>
<strong>Bug nos conectores de sites</strong>
<ul>
 	<li>20 de março, 19h20: Anúncio do bug nos conectores de sites na versão 4.1.42 do LastPass para Chrome</li>
 	<li>20 de março, 19h36: O LastPass inicia sua investigação de segurança em diversas funções do software</li>
 	<li>21 de março, 0h15: O LastPass desativa o serviço vulnerável em seu servidor</li>
 	<li>21 de março, 7h04: O LastPass anuncia que está trabalhando no servidor enquanto conduz uma análise completa do código para solucionar totalmente os problemas nas extensões</li>
 	<li>22 de março, 0h10: O LastPass lança a versão 4.1.36 de sua extensão para Firefox já com a correção</li>
 	<li>22 de março, 12h07: O LastPass lança a versão 4.1.43.82 de sua extensão para Chrome já com a correção</li>
 	<li>22 de março, 13h55: O LastPass envia a versão 4.1.30 de sua extensão para Edge para lançamento</li>
 	<li>22 de março, 14h49: O LastPass lança a versão 4.1.28 de sua extensão para Opera já com correção em <a href="https://lastpass.com/download">com/download</a>; o lançamento depende da loja</li>
</ul>
<h2><strong>Lembretes sobre melhores práticas de segurança pessoal</strong></h2>
Sabemos que os usuários do LastPass tentam seguir melhores práticas de segurança, mas nunca é demais relembrar como proteger seu computador para manter seus dados seguros:
<ul>
 	<li>Fique atento a ataques de phishing. Não clique em links enviados por pessoas desconhecidas ou que doestem do estilo de comunicação de contatos e empresas em quem você confia.</li>
 	<li>Use uma senha diferente para cada conta online.</li>
 	<li>Use uma senha mestre segura para sua conta LastPass e nunca a divulgue para ninguém, nem para nós.</li>
 	<li>Ative a autenticação de dois fatores no LastPass e em outros serviços como banco, conta de e-mail, Twitter, Facebook, etc.</li>
 	<li>Mantenha seu computador em segurança com antivírus e softwares atualizados.</li>
</ul>
<h2><strong>O que vem por aí</strong></h2>
Para evitar que problemas como esses aconteçam, estamos revisando e reforçando os processos de análise de código e de segurança que estão em vigor, especialmente em recursos novos e experimentais.

Nem precisa dizer que segurança é fundamental para nós. Buscamos sempre ser transparentes quando reagimos a problemas assim. Prezamos muito pelo trabalho feito por Tavis, a equipe Project Zero e outros pesquisadores white-hat. Todos nos beneficiamos quando esse modelo de segurança funciona para expor bugs de maneira responsável, e acreditamos que o LastPass fica mais forte pela atenção que dedica a isso. Agradecemos previamente as contribuições de todos os pesquisadores em nosso programa de relato de bugs: <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a>.

———-

<strong>22 de março de 2017 (11h12)</strong>

Ao longo da última semana, trabalhamos com o pesquisador de segurança do Google Tavis Ormandy para investigar e corrigir vulnerabilidades recém-descobertas. Pedimos desculpas pela demora em apresentar uma resposta, mas estamos trabalhando em uma investigação completa dessas descobertas a fim de trazer o máximo de informações para você. Divulgaremos em breve um relatório final do que foi feito, mas, por ora, queremos apresentar um resumo para nossa comunidade.

<strong>O que aconteceu</strong>
Na noite do dia 20 de março, fomos informados sobre um problema na versão 4.1.42.80 da nossa extensão para Chrome. Iniciamos imediatamente uma investigação e, em poucas horas, aplicamos uma correção em nosso servidor. A vulnerabilidade afetava todas as extensões do LastPass – Chrome, Firefox, Edge – que tinham um recurso experimental de integração de usuários.

No dia 21 de março, recebemos outra informação referente à versão 4.1.35a para Firefox. Na verdade, essa vulnerabilidade era a mesma descoberta no dia anterior e afetava a extensão 4.x para Firefox. Embora este problema tenha sido resolvido totalmente nossa correção a fim de acompanhar o trabalho que vínhamos fazendo, esta informação foi recebida antes do lançamento. Lançamos uma atualização, a versão 4.1.36a para Firefox, por volta da 0h15 (Leste dos EUA) de hoje para atender especificamente a essa vulnerabilidade.

As correções estão sendo enviadas para todos os usuários, e a maior parte delas deve ser aplicada automaticamente.

Não há indícios de que as vulnerabilidades descobertas tenham sido exploradas por invasores, mas continuamos fazendo uma análise completa para confirmar esses dados. Divulgaremos em breve um resumo mais abrangente do que aconteceu e com informações que nossa comunidade precisa saber. No momento, os usuários não precisam alterar suas senhas.
<div></div>

Atualizações de segurança importantes para nossos usuários

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more[..]

Preocupado com o Cloudbleed? O Desafio de Segurança do LastPass agora identifica os principais sites envolvidos no recente bug de segurança da Cloudflare. Para ser identificado pelo Desafio de Segurança, o site precisa ter sido afetado e estar entre as 10.000 primeiras posições do ranking Alexa. Ao colocar os sites afetados em evidência, o LastPass ajuda você a priorizar a atualização das suas senhas. Basta executar o Desafio de Segurança no painel esquerdo do seu cofre do LastPass ou, agora mesmo, por este link:
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>
<p ><strong>O que aconteceu com a Cloudflare?</strong></p>
A Cloudflare, empresa que otimiza a segurança e o desempenho de mais de 5,5 milhões de sites, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">divulgou um alerta a clientes na última semana</a> de que um bug pode ter exposto informações confidenciais de usuários. Dentre os dados afetados, estão senhas, cookies e tokens de autenticação de usuários. <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">Leia o post do blog da empresa</a> para obter mais informações.

<strong>Você precisa se preocupar?</strong>

A dimensão do incidente foi imensa, pois a Cloudflare atende a vários sites de grande porte, como o Medium, o Namecheap e o Change.org. No entanto, a empresa afirma que o real impacto do ocorrido é relativamente pequeno, portanto, o risco para qualquer dado em particular é bastante reduzido. Embora o bug já tenha sido resolvido, o vazamento de dados ocorreu desde setembro de 2016. Como alguns dados entraram para o cache de mecanismos de buscas ao longo deste período, informações confidenciais ainda podem estar expostas.

Não dá para saber se alguma informação <em>específica</em> sobre você vazou. Por isso, nossa comunidade quer se precaver e garantir a segurança. A melhor coisa a ser feita é aproveitar a oportunidade para trocar todas as senhas identificadas como possivelmente vulneráveis.

<strong>LastPass facilita a troca de senhas</strong>

O Desafio de Segurança do LastPass agora identifica os principais sites envolvidos no “Cloudbleed”. Para ser identificado pelo Desafio de Segurança, o site precisa ter sido afetado e estar entre as 10.000 primeiras posições do ranking Alexa. Para quem usa autenticação de dois fatores nos sites afetados, recomendamos revogar e reativar esse recurso.

O Desafio de Segurança identifica credenciais pouco seguras, reutilizadas, antigas e vulneráveis no seu cofre. Agora, os sites do seu cofre que constarem da lista dos principais sites afetados pelo bug da Cloudflare também serão identificados como vulneráveis.

O LastPass simplifica o processo de troca de senhas ajudando você a gerar imediatamente uma senha nova, longa e aleatória. Depois, esta nova senha é salva no cofre para que seja lembrada no seu próximo login. Se alguma senha alterada for compartilhada com outras pessoas, o LastPass sincroniza a alteração automaticamente para que todos tenham a senha mais recente.

O LastPass também pode alterar muitas senhas para você com a Alteração Automática de Senhas, um recurso com uma lista de cerca de cem sites em que o LastPass pode atualizar a senha automaticamente, com apenas um clique seu. Alguns sites afetados pelo bug do Cloudflare podem contar com a opção de alteração automática de senhas. Então, por que não aproveitar este recurso?

<span > </span>
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

Alertas para os sites da Cloudflare no Desafio de Segurança do LastPass

Preocupado com o Cloudbleed? O Desafio de Segurança do LastPass agora identifica os principais sites envolvidos no recente bug de segurança da Cloudflare. Para ser identificado pelo Desafio de Seguran[..]

A única certeza no campo da segurança é a mudança. Conforme a tecnologia evolui, nos esforçamos muito para estarmos sempre um passo à frente e garantir que as suas informações estejam seguras. Dois casos recentes podem ter despertado a preocupação de nossa comunidade. Por isso, estamos aqui para dar as respostas que todos os usuários do LastPass precisam saber.

<b>Cloudflare</b>

<strong>Resumo: o LastPass não usa o serviço da Cloudflare e, portanto, não foi afetado pelo </strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/"><strong>recente incidente de segurança da empresa</strong></a><strong>.</strong>

O que aconteceu: A Cloudflare é uma empresa de SaaS que ajuda a otimizar a segurança e o desempenho de sites. No último dia 23 de fevereiro, a Cloudflare publicou um alerta a seus clientes sobre uma vulnerabilidade recém-corrigida, divulgada por Tavis Ormandy, um pesquisador de segurança do Google. Embora a vulnerabilidade possa ter exposto uma vasta quantidade de informações confidenciais, confirmamos que o LastPass não usa o serviço da Cloudflare e, portanto, não foi afetado.

Contudo, os usuários do LastPass podem ter contas em sites que <em>usam</em> os serviços da Cloudflare. Por isso, se algum serviço que você utiliza alegar ter sido afetado, recomendamos a atualização da sua senha. Embora o risco para essas contas seja mínimo, a prevenção é o melhor remédio.

<strong>Ataque de colisão SHA-1</strong>

<strong>Resumo: os usuários do LastPass podem ficar tranquilos, pois nossa função de hashing e nosso site estão a salvo. Para criar hashes de senha, o LastPass usa hashing iterativo com pelo menos um componente SHA-256 ou superior. Os certificados HTTPS usam pelo menos um SHA-256 ou superior para a função de resumo (digest).</strong> <strong>Conforme observado pela equipe de segurança do Google, a função criptográfica SHA-256 é uma função de hashing mais segura.</strong>

O que aconteceu: A equipe de segurança do Google <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">divulgou recentemente</a> o primeiro ataque prático contra a função SHA-1. A SHA-1 (Secure Hash Algorithm 1) é uma função de hashing criada em 1995. Basicamente, a função de hashing é uma função unidirecional (ou seja, não é passível de engenharia reversa) usada para ocultar e armazenar dados. Ela vai além da criptografia. A SHA-1 é amplamente usada para proteger softwares, prevenir adulteração em atualizações de softwares e garantir a segurança de conexões entre sites e os clientes que os utilizam. No entanto, a SHA-1 também é conhecida por ser vulnerável a ataques teóricos desde, pelo menos, 2005, e, nos últimos anos, o Google tem recomendado que desenvolvedores passem a usar outros algoritmos.

O novo relatório, publicado na quinta-feira, dia 23 de fevereiro, mostra como pesquisadores de segurança tiveram sucesso no primeiro ataque de colisão real contra a função de hash SHA-1. Dois arquivos completamente diferentes (no caso, PDFs) foram usados para produzir a mesma assinatura de SHA-1. Isso é algo que não deveria acontecer. Cada arquivo deve produzir sua própria assinatura SHA-1; caso contrário, um arquivo “falso” poderia passar como “verdadeiro” e confiável.

Conforme mencionamos acima, o LastPass gera hashes de autenticação com PBKDF2 com SHA-256, e não SHA-1. A conexão com nosso site, LastPass.com, também é segura, já que nosso certificado HTTPS utiliza SHA-256, e não SHA-1.

Para garantir, estamos eliminando o uso da função SHA-1 em outras áreas do produto, como na assinatura dos arquivos binários. Embora o risco seja muito baixo, estamos acelerando nosso plano de eliminar a função SHA-1 visto o conteúdo deste relato de colisão.

Como sempre, tomaremos todas as providências para manter nossa comunidade informada acerca de eventuais novidades.

Atenciosamente,

A Equipe LastPass

Dois boletins de segurança: o ataque de colisão SHA-1 e o incidente da Cloudflare

A única certeza no campo da segurança é a mudança. Conforme a tecnologia evolui, nos esforçamos muito para estarmos sempre um passo à frente e garantir que as suas informações estejam seguras. Dois ca[..]

É oficial: 2016 é o “ano da redefinição de senha”. Justamente quando pensávamos que as manchetes sobre grandes vazamentos de dados não poderiam ser piores, <a href="http://www.reuters.com/article/us-yahoo-cyber-idUSKCN11S16P">foi divulgado recentemente</a> que mais de <em>meio bilhão</em> de contas do Yahoo! foram afetadas por um incidente em 2014. Mas estamos aqui para alertar: alterar sua senha do Yahoo! hoje não é suficiente.

Vejamos o vazamento do Yahoo! por outro ângulo: é como se o Facebook dissesse que <em>metade de todos os seus usuários</em> tivesse as informações da conta roubadas. É provável que esse fato fique conhecido como a maior violação de cibersegurança da história.

E como se não bastasse todo esse terror, o vazamento do Yahoo! coroa <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">outras grandes violações</a> ocorridas este ano: incidentes no <a href="https://www.theguardian.com/technology/2016/aug/31/dropbox-hack-passwords-68m-data-breach">Dropbox</a>, <a href="http://motherboard.vice.com/read/another-day-another-hack-117-million-linkedin-emails-and-password">LinkedIn</a> e no <a href="http://www.pcmag.com/news/344876/myspace-breach-reportedly-affects-360m-records">MySpace</a> afetaram centenas de milhões de pessoas.

Chato, né? Pois é. Mas os danos não param por aí. O vazamento de enormes listas de nomes de usuário e senhas como essas na Internet serve de combustível para que hackers invadam contas de outros serviços, às vezes, até mais lucrativos. Tudo o que eles precisam fazer é testar os mesmos nomes de usuários e senhas em outros sites de grande movimento até que alguma funcione e, pronto, já era.

Ou seja, qualquer um que<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/"> tenha cometido o erro de usar a mesma senha</a> em mais de um site pode ser hackeado. Com <a href="http://arstechnica.com/security/2013/05/how-crackers-make-minced-meat-out-of-your-passwords/">os supercomputadores de hoje</a>, testar combinações de senha é algo fácil. E como muita gente ainda reutiliza senhas, vale muito a pena tentar combiná-las. <strong>Então, não são só as suas senhas do Yahoo! ou do Dropbox que estão expostas: todos os sites em que você usa uma senha igual ou parecida também estão à disposição dos hackers.</strong>

Como já não basta trocar a senha do Yahoo!, você precisa ir além para se proteger. Responda às perguntas abaixo:
<ul>
 	<li>Você está usando um gerenciador de senhas como o LastPass?</li>
 	<li>Você usa senha diferentes em TODOS os sites ou aplicativos que acessa?</li>
 	<li>Todas as suas senhas foram trocadas no último ano?</li>
 	<li>Você atualizou sua senha do Yahoo para uma senha mais segura e aleatória?</li>
</ul>
Se você respondeu “sim” a todas as perguntas, parabéns, você manda muito bem no cuidado com as suas senhas. Caso contrário, veja o que todos devemos fazer para estar no controle da segurança online:
<h2><strong>Contrate um gerenciador de senhas</strong></h2>
Se você já estiver usando o LastPass, ótimo, avance para a próxima casa. Caso você não tenha um gerenciador de senha, agora é a hora de <a href="https://lastpass.com/">se registrar</a>. Para a grande maioria das pessoas, é dificílimo manter as senhas organizadas e ainda criar senhas seguras e que sejam diferentes para todas as contas. Lembrar dessas senhas, então, é algo de outro mundo. Um gerenciador de senhas faz isso tudo e muito mais no seu dia a dia. Além do mais, a proteção é garantida com a melhor metodologia disponível. Sendo assim, <a href="https://lastpass.com/download">registre-se já</a> e coloque todas as suas senhas no seu próprio cofre. Você pode até mesmo importar as senhas que já estão armazenadas no navegador.
<h2><strong>Faça o Desafio de Segurança</strong></h2>
É aqui que o gerenciador de senhas mostra a que veio. Se você já estiver usando o LastPass, já sabe quanto tempo e esforço ele poupa ao lidar com senhas. Mas para usar o gerenciador de senhas para ter a máxima segurança, é necessário usá-lo para criar senhas diferentes e seguras para cada conta. E o melhor jeito para fazer uma auditoria nas suas senhas é aplicar o <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">Desafio de Segurança LastPass</a>. Além de mostrar quantas senhas estão guardadas no seu cofre, ele identifica as mais fracas, as antigas, as reutilizadas e, até mesmo, quais sites você usa e estão com a segurança comprometida. Por isso, faça o desafio antes de alterar sua senha do Yahoo!. Assim, você saberá se já usou a mesma senha em outro site, podendo ainda priorizar a mudança dessas senhas.
<h2><strong>Troque a senha do Yahoo!</strong></h2>
Entre na sua conta do Yahoo! e use o gerador de senhas do LastPass para criar uma nova senha. Salve-a no LastPass e mande-a para sua conta do Yahoo! Pronto. Quem disse que é difícil criar senhas com 20 caracteres?
<h2><strong>Agora, troque todas as suas senhas</strong></h2>
<a href="https://blog.lastpass.com/2016/05/precautionary-steps-to-ensure-your-safety-after-an-email-breach.html/">Depois de cada novo vazamento</a>, nós, na qualidade de consumidores, corremos para alterar uma ou outra senha, algo que pode ser trabalhoso e demorado. Além do Desafio de Segurança para descobrir em quais serviços online você reutiliza senhas, aproveite alguns métodos do LastPass para simplificar o processo de alteração de senhas. Em primeiro lugar, o LastPass pode alterar a senha de vários sites automaticamente com a <a href="https://helpdesk.lastpass.com/generating-a-password/#h2">Alteração Automática de Senhas</a>. Use essa opção quando ela estiver disponível, e o LastPass se encarregará de alterar a senha nos bastidores. Em qualquer outro site, use o gerador de senhas do LastPass para criar a senha mais segura possível e salve as alterações no cofre, simultaneamente à alteração no site.
<h2><strong>Não se esqueça das perguntas de segurança</strong></h2>
É comum que os sites peçam que você informe respostas a perguntas especiais de segurança, com a intenção de deixar sua conta ainda mais segura. Infelizmente, isso é péssimo, pois essas informações não são criptografadas, e costuma ser fácil encontrar as respostas com pesquisas rápidas na Internet. Então, basta usar o gerador de senhas para criar respostas falsas. Salve-as como uma “Nota” no registro do site que fica em seu cofre. Assim, o nome de solteira da sua mãe será algo do tipo “sPEcTOpeRoseNctuLAte”.

Portanto, não se esqueça: a melhor coisa que você pode fazer desde já para dificultar o trabalho dos hackers após grandes vazamentos como o do Yahoo! é nunca reutilizar uma senha, e sempre criar uma senha segura e exclusiva para cada site e aplicativo do dia a dia. Após seguir esses passos, você estará muito mais preparado quando (perceba: “quando”, não “se”) a segurança do próximo site famoso for violada. Basta alterar uma senha, sem perder tempo se preocupando com a possibilidade de exposição de suas outras contas online. Agora é a hora de garantir as melhores senhas em todas as suas contas.

Está na hora de alterar todas as suas senhas

É oficial: 2016 é o “ano da redefinição de senha”. Justamente quando pensávamos que as manchetes sobre grandes vazamentos de dados não poderiam ser piores, <a href="http://www.reuters.com/article/us-y[..]

Você deve ter notado nas últimas semanas que grandes marcas, como o <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> e o <a href="https://www.wired.com/2016/05/hack-brief-old-myspace-account-just-came-back-haunt/">MySpace</a>, foram vítimas de vazamento de dados e incidentes de segurança. É uma pena que ocorrências desse porte façam com que milhões de nomes de usuários e senhas fiquem à disposição de quem quiser usá-los. E, para os invasores, o jeito mais fácil de usar essas credenciais é tentar se conectar em vários outros sites usando a mesma combinação de nome de usuário e senha.

Como muita gente tem o costume de reutilizar senhas, os invasores têm acesso rápido a contas de outros serviços em um esquema conhecido como “ataque por reutilização de senha”. O novo site “invadido” não sofreu propriamente uma falha de segurança, mas seus usuários correm perigo por usarem as mesmas senhas em vários lugares. Temos a sorte de ser um dos gerenciadores de senha mais utilizados da Internet, mas isso não significa que estamos imunes a tentativas parecidas. Considerando que a reutilização de senhas é uma conduta comum (e perigosa), fazemos tudo o que está ao nosso alcance para proteger nossos usuários, mesmo que seja necessário protegê-los contra si próprios.

Por isso, nossa equipe de engenheiros de segurança monitora ininterruptamente a Internet, em busca de nomes de usuários e senhas vazados na eventual invasão de outros sites. Sempre que descobrimos um novo vazamento, obtemos imediatamente as listas vazadas e as comparamos com a nossa própria base de usuários para ver se há correspondência com alguma conta LastPass. Caso encontremos um resultado positivo, desativamos a conta para proteger o cofre do usuário. Essa prática foi adotada há anos pela equipe LastPass em prol da proteção proativa de nossos usuários.
<h2><strong>Quais são as etapas do nosso processo?</strong></h2>
No caso do recente <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">incidente envolvendo o LinkedIn</a>, o vazamento de dados aconteceu de fato alguns anos atrás, mas a lista de usuários e senhas só vazou agora. Em resposta ao ocorrido, desativamos todas as contas dos usuários LastPass que correspondiam às credenciais vazadas. Só para deixar claro,<em> o LastPass não sofreu nenhuma invasão ou falha de segurança;</em> optamos por adotar essa medida para proteger os usuários que reutilizaram senhas em outros serviços online que sofreram ataques.
<h2><strong>O LastPass tem a minha senha mestre?</strong></h2>
Não. O LastPass nunca teve sua senha mestre. Quando senhas de outros sites vazam, o LastPass as usa em scripts para simular uma tentativa de login. Esses scripts usam o padrão de hash PBKDF2, o mesmo aplicado pelo sistema LastPass quando você se conecta à sua conta. É esse padrão que nos diz se a sua senha está correta ou não. Em seguida, comparamos o resultado dos scripts ao hash de senhas armazenadas em nosso banco de dados. Se houver correspondência, sabemos que a senha foi reutilizada na sua conta LastPass e, nesse caso, a desativamos.
<h2><strong>O que os usuários LastPass podem fazer?</strong></h2>
Se sua conta foi desativada, pediremos que você use uma conexão confiável para se conectar a ela a fim de verificar sua identidade e reativar sua conta. Para reativar a conta:
<ol>
 	<li>Conecte-se pelo cofre Web <a href="https://lastpass.com/">https://lastpass.com/</a>.</li>
 	<li>O processo de reativação será iniciado.</li>
 	<li>A partir daí, conecte-se à sua conta pela extensão no navegador ou pelo cofre Web para acessar o site de redefinição da senha mestre.</li>
</ol>
Ao se deparar com uma mensagem de que sua conta foi desativada, acesse o site <a href="https://lastpass.com/">https://lastpass.com</a> para iniciar o processo de verificação. Caso você esteja em um novo local ou esteja usando um dispositivo desconhecido para se conectar, instruiremos você a fazer o login em um local (endereço IP) já utilizado ou usando um dispositivo confiável.

Depois disso, sua conta estará desbloqueada e disponível para que você altere a senha mestre para uma combinação nova e mais segura.

É altamente recomendável usar o <a href="https://lastpass.com/?securitychallenge=1&amp;lpnorefresh=1">Desafio de Segurança LastPass</a> para avaliar as senhas guardadas no seu cofre para ver se você está reutilizando senhas entre serviços online. Conte com a ajuda do LastPass para criar senhas seguras e exclusivas. Mesmo que a senha mestre do LastPass não seja uma senha reutilizada, esse é um momento oportuno para aplicar o Desafio de Segurança para garantir que todos os seus serviços online estejam usando uma senha única.

LastPass, protegendo seus usuários contra a reutilização de senhas

Você deve ter notado nas últimas semanas que grandes marcas, como o <a href="http://arstechnica.com/security/2016/06/how-linkedins-password-sloppiness-hurts-us-all/">LinkedIn</a> e o <a href="https://[..]

Na quinta-feira de manhã, <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">foi divulgada a notícia</a> de que mais de 250 milhões de endereços de e-mail estavam comprometidos, incluindo endereços do Google, do Yahoo e da Microsoft. O ataque originou-se na Rússia e foi descoberto pelos pesquisadores da Hold Security, que se depararam com o hacker russo vangloriando-se sobre as contas roubadas em um fórum online. Acredita-se que essas credenciais roubadas estejam em risco, mas a extensão da ameaça ainda não é conhecida. Sempre que há uma violação, principalmente quando os detalhes não estão claros, é melhor tomar medidas preventivas para garantir que suas contas estejam seguras.

<strong>Mude suas senhas do Google, do Yahoo e da Microsoft:</strong> As melhores e mais seguras senhas são longas, exclusivas e aleatórias. Nunca escolha uma senha utilizada em outro serviço; senhas exclusivas garantem que, caso sejam vazadas em uma violação com essa, não possam ser usadas pelos hackers para acessar suas outras contas. A melhor opção? Use um <a href="https://lastpass.com/generatepassword.php">gerador de senhas</a> para garantir o nível mais alto de segurança.

<strong>Seja proativo com outras senhas</strong><strong>:</strong> Faça o <a href="https://helpdesk.lastpass.com/lastpass-security-challenge/">Desafio de Segurança do LastPass</a> para saber quais são suas senhas fracas, comprometidas ou que foram reutilizadas. Preste atenção principalmente às contas em que você pode ter reutilizado as senhas do Google, do Yahoo ou da Microsoft. O desafio o ajudará a tomar medidas e poderá até mesmo substituir automaticamente essas senhas para você.

&nbsp;

<a href="https://lastpass.com/challenge" target="_blank"><button>Desafio de Segurança do LastPass</button></a>

<strong>Ative a autenticação de dois fatores (2FA): </strong>Com a 2FA ativada em suas contas importantes, mesmo que um hacker tenha a sua senha, não conseguirá acessar a conta sem ter uma segunda informação, como um código único gerado a partir de um aplicativo no seu telefone ou uma impressão digital. A autenticação de dois fatores é incrivelmente valiosa para seu endereço de e-mail, que é basicamente a porta de entrada para tudo o que você faz online, incluindo sua conta bancária, cartões de crédito, investimentos e muito mais. Se você é um usuário do LastPass, recomendamos que você <a href="https://blog.lastpass.com/2015/01/the-one-thing-you-can-do-right-now-to-be-more-secure-online-multifactor-authentication.html">configure a autenticação de dois fatores</a> em sua conta LastPass. Veja como configurar a 2FA em serviços comprometidos:
<ol>
 	<li><a href="https://www.google.com/landing/2step/" target="_blank" rel="noopener noreferrer">Google</a></li>
 	<li><a href="https://help.yahoo.com/kb/SLN5013.html" target="_blank" rel="noopener noreferrer">Yahoo</a></li>
 	<li><a href="http://windows.microsoft.com/en-us/windows/two-step-verification-faq" target="_blank" rel="noopener noreferrer">Microsoft</a></li>
</ol>
Infelizmente, o que aconteceu com as senhas dos usuários do Google, do Yahoo e da Microsoft está se tornando algo muito comum, e é provável que vejamos cada vez mais invasões semelhantes no futuro. Garantir que a sua segurança seja rigorosa é importante principalmente quando se trata dessas contas que são "portas de entrada" e oferecem uma via para o resto da sua vida online. Uma violação dessa magnitude pode causar uma certa ansiedade, mas essas medidas ajudarão a deixar você mais tranquilo e proteger suas informações confidenciais.

Medidas preventivas para garantir sua segurança depois de uma violação de e-mail

Na quinta-feira de manhã, <a href="http://www.reuters.com/article/us-cyber-passwords-idUSKCN0XV1I6">foi divulgada a notícia</a> de que mais de 250 milhões de endereços de e-mail estavam comprometidos,[..]

Você acha que phishing é um ataque ultrapassado? Pense bem. Mesmo que os filtros de spams dos provedores de e-mail estejam mais inteligentes, o <a href="http://www.antiphishing.org/">Anti-Phishing Working Group</a> informou um aumento de 18% apenas em relatos de phishing no último trimestre de 2014. Especialistas em segurança preveem que esse número continuará aumentando em 2016.

O phishing continua sendo uma tática popular para roubar informações confidenciais como senhas, códigos de segurança e números de cartão de crédito, além de servir para introduzir malwares em dispositivos pessoas e sistemas corporativos. Até mesmo uma conta LastPass pode ser alvo de um ataque de phishing. A primeira linha de defesa contra esse tipo de ataque deve consistir em uma detecção mais inteligente do software utilizado e uma melhor preparação individual.

A seguir, você descobrirá como o LastPass está combatendo o phishing, o que fazer para aumentar sua capacidade de detectar os ataques e como proteger suas informações mais confidenciais quando for pego desprevenido.
<h2>O que é phishing?</h2>
Os ataques de phishing vêm nas mais diferentes formas. Existem os remetentes de e-mail que se fazem passar pelo seu banco e solicitam confirmações de atividade bancária. Também há mensagens com faturas falsas que pedem que você faça download do documento anexo para confirmar sua compra. Pode vir inclusive na forma de anúncios maliciosos ou links nas redes sociais. Os invasores podem até mesmo direcionar você para uma página de login praticamente idêntica a um site conhecido e confiável.

O spear-phishing é ainda mais pessoal. Os invasores enviarão e-mails que parecem vir de um colega de trabalho, do seu chefe ou até do departamento de TI. Eles fazem a solicitação parecer legítima usando informações sobre você que já conhecem para pedir mais dados, para que você faça download de um arquivo malicioso ou transfira uma quantia em dinheiro.
<h2>Como identificar ataques de phishing?</h2>
Muitos ataques de phishing são simples e fáceis de detectar, mas alguns são muito mais sofisticados. Por isso, é preciso uma boa dose de ceticismo para identificar e-mails, links e notificações suspeitas. Veja como identificar ataques de phishing:
<ul>
	<li><strong>Verifique o URL</strong>: Verifique o URL <a href="https://lastpass.com">https://lastpass.com</a> ou <a href="https://subdomain.lastpass.com">https://subdomain.lastpass.com</a>. Um URL de phishing, no entanto, poderá ser similar a <a href="http://lastpass.otherdomain.com">http://lastpass.otherdomain.com</a>. Nesse caso, o domínio é, na verdade, “outrodominio” e deve ser evitado.

[caption id="attachment_48365" align="aligncenter" width="320"]<img class="size-full wp-image-48365" src="https://cdn.lputil.com/wp-content/uploads/949128864566150468.jpg" alt="Image credit: Lifehacker" width="320" height="110" /> Image credit: <a href="http://lifehacker.com/5873050/how-to-boost-your-phishing-scam-detection-skills">Lifehacker</a></figure></div></li>
</ul>
<ul>
	<li><strong>Observe o destinatário do e-mail</strong>: desconfie de e-mails enviados para “Prezado cliente” ou que não trazem uma saudação. Hoje em dia, a maioria das empresas refere-se ao cliente pelo nome. Entretanto, os ataques de spear-phishing costumam ser direcionados para uma pessoa em particular, por isso, esse método não é à prova de falhas.</li>
</ul>
<ul>
	<li><strong>Abra o site você mesmo</strong>: se estiver em dúvida, abra uma nova guia ou janela no navegador e digite o URL diretamente (ou a partir do seu gerenciador de senhas). Assim, você saberá que está acessando um site autêntico.<img class="aligncenter size-full wp-image-48385" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.14.38-AM-2.png" alt="Screen Shot 2016-01-20 at 9.14.38 AM (2)" width="458" height="186" /></li>
</ul>
<ul>
	<li><strong>Verifique se o gerenciador de senhas está exibindo um login correspondente</strong>: LastPass pode ajudar você a proteger-se dos ataques de phishing com o não preenchimento do seu login em um site falso. Quando o domínio não for o mesmo armazenado no LastPass, esses dados não serem preenchidos. Se isso acontecer, verifique o URL.</li>
</ul>
<ul>
	<li><strong>Vá com calma se a mensagem sugerir urgência</strong>: uma mensagem que leva o leitor a agir rapidamente pode estar tentando manipulá-lo para fazer algo sem pensar antes.</li>
</ul>
<ul>
	<li><strong>Pergunte-se</strong>: Eu pedi para essa pessoa me envia um anexo? Essa é uma atitude que não combina com o comportamento do remetente? Se ficar em dúvida, desconfie e pergunte.</li>
</ul>
<ul>
	<li><strong>Procure o protocolo HTTPS:// e o cadeado</strong>: sempre que estiver navegando em um site, verifique na barra de endereços se essa é uma conexão segura por HTTPS e se o ícone de cadeado está presente, o que quer dizer que o site foi verificado por uma empresa de segurança terceirizada. <img class="aligncenter size-full wp-image-48405" src="https://cdn.lputil.com/wp-content/uploads/Screen-Shot-2016-01-20-at-9.16.41-AM-2.png" alt="Screen Shot 2016-01-20 at 9.16.41 AM (2)" width="629" height="134" /></li>
</ul>
<h2>Quando seu gerenciador de senhas é alvo de phishing</h2>
Os ataques de phishing não estão mais limitados a e-mails e anúncios maliciosos e links nas redes sociais. Alguns ataques de phishing podem tentar atingir até mesmo as extensões usadas no navegador, inclusive simulando a ação de um gerenciador de senhas.

Por exemplo, é possível que um site malicioso <a href="https://lastpass.com/support.php?cmd=showfaq&amp;id=10072">simule uma extensão do seu navegador </a> mostrando notificações que pedem dados como nome de usuário, senha e código de autenticação de dois fatores. Pode ser difícil perceber se as notificações estão realmente vindo de um site malicioso e não da extensão do navegador.
<h2>Como o LastPass protege você dos ataques de phishing?</h2>
<ul>
	<li><strong>Ao avisar que a senha mestre foi inserida em uma página não reconhecida pelo LastPass</strong>: o LastPass exibe um pop-up de aviso antes mesmo de você enviar sua senha mestre para um site, sempre que você tentar inserir sua senha mestre do LastPass em uma página não reconhecida pelo gerenciador de senhas. Você saberá imediatamente que sua senha mestre pode estar comprometida e poderá alterá-la.</li>
</ul>
<ul>
	<li><strong>Ao exigir verificação para logins em locais ou dispositivos desconhecidos</strong>: o LastPass exige um processo de verificação sempre que você tentar fazer login em um local ou dispositivo desconhecido. Assim, se você involuntariamente inserir sua senha mestre e o código de autenticação de dois fatores, qualquer tentativa feita pelo invasor de usar os dados será impedida pelas etapas de verificação por e-mail. O invasor precisará também obter acesso à sua conta de e-mail, o que pode evitado com o uso de autenticação de dois fatores nessa conta. Caso perceba uma solicitação de verificação que não foi iniciada por você, é possível ignorá-la com segurança e atualizar a senha mestre nas Configurações da conta do Cofre LastPass.</li>
</ul>
<ul>
	<li><strong>Ao evitar o logoff</strong>: um site malicioso pode exibir uma notificação falsa do LastPass, informando que você foi desconectado e precisa fazer login novamente. Verifique se ainda está conectado na extensão do LastPass e faça login apenas por meio dela.</li>
</ul>
Com o objetivo de proteger ainda mais os usuários, além dessas medidas de proteção, também encorajamos o Google e outros navegadores a oferecer maneiras seguras de exibir notificações fora da janela do navegador.
<h2>On top of theComo você pode ajudar a proteger sua conta LastPass?</h2>
Além das medidas de segurança existentes, você também pode garantir a segurança do seu cofre com as seguintes práticas recomendadas:
<ul>
	<li><strong>Sempre faça login pela extensão do LastPass</strong>. A maneira mais segura de fazer login no LastPass é clicar no ícone da extensão na barra de ferramentas do seu navegador.  <img class="aligncenter wp-image-48425" src="https://cdn.lputil.com/wp-content/uploads/sites/20/2020/04/ncsam2019finalblogbanner.jpg" alt="Screen Shot 2016-01-20 at 9.24.22 AM (2)" width="232" height="325" /></li>
</ul>
<ul>
	<li><strong>Não reutilize a senha mestre</strong>. Reutilizar a senha mestre aumenta o risco de alguém roubar seu cofre. Sempre utilize uma senha mestre exclusiva para o LastPass e preste atenção ao nosso aviso quando digitá-la em qualquer outra situação que não seja para fazer login no LastPass.</li>
</ul>
<ul>
	<li><strong>Tome cuidado com a origem do download do LastPass</strong>. Faça o download do LastPass somente no site LastPass.com ou nas lojas de complementos do seu navegador ou dispositivo. Nunca utilize sites de downloads de terceiros e, mesmo nas lojas de complementos, desconfie de resultados que podem parecer o LastPass, mas que pertencem a um desenvolvedor diferente e não apresentam avaliações.</li>
</ul>
<ul>
	<li><strong>Nunca compartilhe sua senha mestre</strong>. A equipe do LastPass <em>nunca </em> pedirá sua senha mestre. Suspeite de pessoas que alegam ser da equipe do LastPass e pedem sua senha mestre. Nunca divulgue sua senha.</li>
</ul>
<ul>
	<li><strong>Inclua uma autenticação de dois fatores</strong>. Segurança adequada tem a ver com camadas de proteção que diminuem o risco.A <a href="http://helpdesk.lastpass.com/multifactor-authentication-options/">autenticação de dois fatores</a> exige mais informações antes de permitir o acesso à sua conta. Por mais que não seja uma solução milagrosa, essa etapa contribui bastante para proteger sua conta.</li>
</ul>
<ul>
	<li><strong>• Proteja seu e-mail com uma senha segura e com a autenticação de dois fatores</strong>. Sua conta de e-mail pode ser a chave que dá acesso à sua privacidade. Proteja-a como se a sua vida digital dependesse dela, porque é provável que dependa mesmo. Se você preferir, o LastPass pode gerar uma senha segura mas “pronunciável” para seu e-mail, que ainda poderá ser memorizada. Sempre ative a autenticação de dois fatores se o servidor de e-mails oferecer essa funcionalidade.</li>
</ul>
Garantir a segurança online deve ser um compromisso permanente de todas as partes. Com o surgimento de novas ameaças, a LastPass está comprometida com a melhoria dos produtos, trabalhando com a comunidade de pesquisadores de segurança para fortalecê-los. Nós, usuários, também precisamos continuar com o compromisso de seguir as práticas recomendadas de segurança.

Proteja-se de ataques de phishing

Você acha que phishing é um ataque ultrapassado? Pense bem. Mesmo que os filtros de spams dos provedores de e-mail estejam mais inteligentes, o <a href="http://www.antiphishing.org/">Anti-Phishing Wor[..]

Blog

Blog

Últimas notícias

Notícias do setor

LastPass para administradores

LastPass Labs

Atualizações de produtos

Dicas e truques

Notícias sobre segurança