O LastPass, um dos gestores de palavras-passe mais utilizados no mundo, foi novamente alvo de um incidente de cibersegurança em junho de 2026 — desta vez através de um ataque à cadeia de fornecimento que afetou o seu fornecedor externo Klue, uma plataforma de inteligência de mercado baseada em IA. O resultado: dados pessoais de clientes do LastPass ficaram expostos, embora as cofres de palavras-passe (vaults) e a infraestrutura principal da empresa não tenham sido comprometidos.
O que aconteceu
A 12 de junho de 2026, o LastPass foi notificado de uma atividade não autorizada no Klue, uma plataforma que as equipas de marketing e vendas da empresa utilizam e que se integra com o Salesforce e o Gong. Os atacantes — o grupo de extorsão Icarus — comprometeram a infraestrutura do Klue utilizando credenciais desatualizadas de um serviço de integração, o que lhes permitiu obter tokens OAuth de múltiplos clientes do Klue, incluindo o LastPass.
Um token OAuth funciona como uma chave digital temporária que permite a uma aplicação (como o Klue) aceder a dados noutro serviço (como o Salesforce) sem necessitar da palavra-passe do utilizador. Com esses tokens em mão, os atacantes fizeram-se passar por aplicações legítimas e extraíram dados de clientes do ambiente Salesforce do LastPass.
Que dados foram expostos
Segundo o LastPass, os dados potencialmente expostos incluem:
- Nomes de clientes
- Números de telefone
- Endereços de email
- Endereços físicos
- Detalhes de casos de suporte
- Informação relacionada com vendas e CRM
Não foram expostos: palavras-passe, chave mestra, cofres de palavras-passe nem a infraestrutura principal do serviço. Também não há evidências de que dados do Gong tenham sido acedidos.
O risco real: phishing sofisticado
Embora as palavras-passe estejam seguras, os dados expostos são suficientes para lançar campanhas de phishing altamente credíveis. Os atacantes conhecem agora o nome, o email, o telefone e o endereço dos clientes do LastPass, o que lhes permite construir mensagens de engenharia social convincentes — por exemplo, fingindo ser o suporte do LastPass a pedir a confirmação da chave mestra.
O LastPass alertou que as únicas comunicações de confiança são as provenientes dos canais oficiais de suporte, e identificou domínios fraudulentos já em uso pelos atacantes. A empresa também aconselhou os utilizadores a nunca partilharem a chave mestra com ninguém.
O historial problemático do LastPass
Este é o mais recente numa série de incidentes que afetaram o LastPass. Em dezembro de 2022, ocorreu a violação mais grave: atacantes acederam a cofres de palavras-passe encriptados de clientes, cujo conteúdo ficou em risco para utilizadores com chaves mestras fracas — situação que foi posteriormente associada a vários roubos de criptomoedas. O incidente de junho de 2026 é, em termos de impacto direto, menos grave — mas é o oitavo evento de segurança significativo desde 2011, segundo analistas especializados.
O ataque ao Klue e outros afetados
O LastPass não foi a única organização afetada pelo compromisso do Klue. O grupo Icarus terá comprometido a infraestrutura do Klue e obtido tokens OAuth de múltiplos clientes. Entre as outras organizações afetadas contam-se a Recorded Future, Tanium, Jamf, Sprout Social, Gong e Insurity — todas elas utilizadoras da plataforma Klue.
O que fazer se for utilizador do LastPass
- Desconfie de emails e SMS não solicitados nas próximas semanas, mesmo que pareçam ser do LastPass.
- Nunca partilhe a chave mestra — o LastPass nunca a solicitará por email ou telefone.
- Ative autenticação de dois fatores (2FA) na sua conta se ainda não o fez.
- Considere migrar para outro gestor de palavras-passe se o historial de incidentes do LastPass lhe suscitar dúvidas — alternativas como Bitwarden (open-source) ou 1Password têm sido consistentemente recomendadas.
Fonte: LastPass (blog oficial), BleepingComputer, Computing.co.uk — 12-23 junho 2026.