Violação de dados da LastPass na cadeia de suprimentos da Klue em 2026

A Klue era uma plataforma terceirizada usada pelas equipes responsáveis pela estratégia de entrada no mercado da LastPass e integrada ao Salesforce e ao Gong. Segundo a LastPass, um agente não autorizado obteve tokens OAuth que a Klue mantinha para muitos clientes. Esse agente usou as credenciais da LastPass para acessar o ambiente Salesforce da empresa. A cadeia começou com o uso indevido da identidade de uma integração confiável, e não com uma invasão inicial da infraestrutura do produto de gerenciamento de senhas da LastPass.

Um token OAuth não é necessariamente uma senha; é uma credencial que permite a um aplicativo integrado acessar uma API ou um serviço dentro das permissões concedidas anteriormente. O roubo pode permitir que um agente opere dentro desse escopo autorizado. A LastPass não divulgou todos os objetos do Salesforce, casos de suporte ou registros de vendas que foram abertos, a data do primeiro acesso não autorizado nem a quantidade de dados copiados.

O comunicado oficial descreve as informações como dados comuns de contato comercial e de gestão do relacionamento com clientes. Os campos enumerados são nomes de clientes, números de telefone, endereços de e-mail e endereços físicos, além de dados de casos de suporte e de vendas. A LastPass não afirmou que todos os campos existiam para cada cliente nem que todos os casos de suporte foram acessados.

O conteúdo dos casos de suporte pode variar, e a empresa não confirmou separadamente o acesso ao corpo de mensagens, anexos, logs técnicos ou outros campos específicos. Portanto, senhas, senhas mestras, conteúdo dos cofres, dados de pagamento e documentos de identidade não são incluídos apenas porque, em tese, poderiam aparecer em algum registro de suporte sem relação com o incidente. O tamanho da base de clientes, o total de casos de suporte e o número total de usuários da LastPass não substituem uma contagem específica da violação.

A LastPass afirmou que o escopo se limitou aos sistemas integrados à Klue e que os produtos, serviços e a infraestrutura da LastPass não foram afetados de nenhuma forma. Os cofres de senhas dos clientes permaneceram seguros. Essa constatação não invalida o acesso confirmado às informações de clientes no Salesforce; ela situa o evento fora do ambiente central do gerenciador de senhas e do conteúdo criptografado dos cofres.

A investigação não encontrou evidências de que o agente tenha acessado dados relacionados ao Gong. Como o Gong pode conter chamadas com clientes e conteúdo de e-mails, essa distinção é importante. “Não foram encontradas evidências” é a conclusão publicada da investigação e significa que os dados do Gong não devem ser listados como dados cujo acesso foi confirmado. Não foram apresentadas evidências de que senhas mestras da LastPass, senhas de sites armazenadas ou chaves de descriptografia tenham sido obtidas.

A LastPass interrompeu todo o acesso de funcionários à Klue, fez a rotação dos tokens de API e OAuth expostos e iniciou uma investigação detalhada com representantes da Klue e do Salesforce. A empresa notificou as autoridades policiais e afirmou que estava cooperando. A remediação direta por meio da rotação dos tokens foi concluída, enquanto continuava o trabalho em medidas de proteção adicionais e protocolos mais robustos para prevenir incidentes semelhantes envolvendo terceiros.

A equipe de inteligência de ameaças da empresa afirmou que estava compartilhando táticas, técnicas e procedimentos com a comunidade de segurança para interromper a campanha e apoiar os profissionais responsáveis pela defesa. A LastPass também publicou quatro endereços IP e três domínios de remetentes como indicadores. Esses indicadores podem mudar ao longo do tempo e, por si só, não comprovam que cada mensagem seja maliciosa ou segura.

Nomes, números de telefone, endereços de e-mail, endereços físicos e o contexto de casos de suporte podem servir de base para mensagens altamente convincentes que se passam pelo suporte da LastPass. Um agente poderia citar um caso real ou uma relação comercial e solicitar uma senha mestra, um código de autenticação multifator ou um login por meio de uma página falsa. A LastPass enfatizou que ninguém na empresa pedirá uma senha mestra e que os clientes devem confiar apenas nos canais oficiais de suporte.

Os clientes podem verificar chamadas, e-mails e solicitações inesperadas de informações sensíveis por meio de um canal de suporte conhecido da LastPass, em vez de usar um link ou número presente na mensagem. A constatação de que os cofres não foram afetados não implica, por si só, a necessidade de alterar todas as senhas armazenadas em um cofre. Se informações tiverem sido inseridas em uma página suspeita, porém, a senha mestra e as credenciais das contas afetadas devem ser substituídas por meio do aplicativo oficial.

Não se trata de um comprometimento direto da infraestrutura central do gerenciador de senhas da LastPass, mas de acesso a dados de clientes no Salesforce usando tokens de integração roubados da Klue. A organização não publicou um total verificável de pessoas ou registros afetados. A ausência de uma contagem divulgada não significa que o incidente não teve impacto; significa que as fontes públicas não fornecem um total confiável.

A conclusão verificada é que tokens OAuth mantidos pela Klue foram obtidos; nomes, números de telefone, endereços de e-mail, endereços físicos, casos de suporte e dados de vendas no Salesforce foram acessados; os tokens passaram por rotação; e o acesso à Klue foi interrompido. Os produtos, a infraestrutura e os cofres de senhas da LastPass não foram afetados, e nenhuma evidência indicou acesso ao Gong. O momento exato dos acessos, o número de pessoas, o volume de registros e o conteúdo de cada caso continuam sem divulgação.