Entraron dos veces en LastPass. El producto era tu caja fuerte.

El 22 de diciembre de 2022 —tres días antes de Navidad, una época perfecta para enterrar malas noticias— LastPass actualizó al mundo sobre un incidente de seguridad que había revelado por primera vez en agosto. La versión de agosto era tranquilizadora. Alguien se había colado en el entorno de desarrollo de la empresa y se había llevado código fuente y algo de información técnica. No se tocaron datos de clientes, dijo la empresa. Ni una sola caja fuerte.

La versión de diciembre sonaba distinta. Los intrusos, resultó, habían usado lo aprendido en agosto para volver —y esta vez copiaron las copias de seguridad de las cajas fuertes de los clientes—. No una lista de correo. No una base de datos de facturación. Las cajas fuertes: el único producto cuya razón de existir era no acabar jamás en manos de otro.

La primera brecha fue el reconocimiento del terreno

En agosto de 2022, un atacante consiguió las credenciales de un desarrollador y pasó días dentro del entorno de desarrollo de LastPass, llevándose porciones del código fuente e información técnica confidencial. LastPass contrató investigadores externos, contuvo la intrusión y dijo a sus clientes que no se había accedido ni a sus datos ni a sus cajas fuertes. Por lo que se sabe, era verdad —y no era el punto—.

Con la información técnica de ese primer incidente, el atacante apuntó a otro empleado, obtuvo credenciales y llegó a un servicio de almacenamiento en la nube de terceros donde LastPass guardaba las copias. Desde ahí se llevaron copias de la información de las cuentas y de las copias de seguridad de las cajas fuertes. La brecha de agosto nunca fue el evento real. Fue el reconocimiento del terreno. Diciembre fue el golpe.

Es un patrón que hemos visto tantas veces que, con la distancia, ya tiene nombre: el primer incidente rara vez es el desastre. Es el plano que se dibuja para el segundo.

Cifraron el contenido. Dejaron el índice a la vista.

Seamos justos con la criptografía: los campos sensibles dentro de una caja fuerte de LastPass —usuarios, contraseñas, notas seguras, datos de formularios— estaban cifrados con AES de 256 bits, con claves derivadas de la contraseña maestra de cada usuario. LastPass no podía leerlos. Esa parte del diseño era sólida y, según lo publicado, el cifrado en sí no ha sido roto.

Pero las copias de seguridad también llevaban datos que nunca se cifraron. Las direcciones de los sitios vinculados a cada acceso guardado estaban en texto plano, junto con nombres de clientes, correos electrónicos, direcciones de facturación, teléfonos y las direcciones IP desde las que se conectaban.

Piensa en lo que eso significa. Los atacantes recibieron dos cosas: las cajas cerradas y —por separado, a la vista— un índice completo de qué había dentro y de quién era. Las direcciones de una caja fuerte son el mapa de una vida. El banco. El proveedor de correo. El bróker y la plataforma de criptomonedas. Los sistemas del empleador, el portal del paciente de la clínica, las cuentas de las que preferirías no hablar. No hace falta abrir ni una sola caja para que ese mapa valga dinero. Le dice a un estafador exactamente qué instituciones usa su objetivo y qué debe fingir un correo falso convincente. La propia LastPass advirtió a sus clientes que esperaran justo ese tipo de intentos de suplantación.

Cifraron el diario. Publicaron el índice.

Una sola contraseña, y todo el tiempo del mundo

En cuanto al contenido cifrado, todo descansa en la contraseña maestra —así está diseñado—. Lo que diciembre cambió es dónde se hacen los intentos. Una copia robada es un problema sin conexión. La copia reposa en el hardware del atacante. No hay página de acceso que cuente los fallos, ni bloqueo tras diez intentos, ni aviso en la bandeja de nadie. Cada intento es gratis, silencioso y sin prisa —para siempre—.

Una contraseña maestra larga y única, en una cuenta actualizada, convierte una caja fuerte en un objetivo genuinamente difícil; las matemáticas se sostienen. Una corta, familiar o reutilizada es otra historia: se convierte en una cuestión de potencia de cálculo y paciencia. Y la configuración variaba enormemente entre cuentas: las antiguas solían tener parámetros de derivación de claves mucho más débiles que las recomendaciones posteriores de la propia empresa, lo que significa que dos clientes con la misma contraseña podían tener niveles de protección muy distintos sin forma de saberlo.

Así que la seguridad de todo el archivo dependía de cosas que ningún cliente podía inspeccionar: la fortaleza de una frase memorizada y la disciplina operativa de una empresa en cuyo entorno de desarrollo ya habían entrado una vez ese mismo año. Es mucho peso sobre un solo punto. Y los sistemas fallan en los puntos únicos.

Lo que sí está en tu mano gobernar

Las cartas de Séneca vuelven una y otra vez a una distinción sencilla: hay cosas que dependen de nosotros y cosas que no, y la serenidad nace de saber cuáles son cuáles. No puedes gobernar el entorno de desarrollo de un proveedor. No puedes vetar a sus empleados, auditar a sus proveedores de almacenamiento ni reprogramar sus anuncios de diciembre. Si tu material más sensible vive dentro del producto de otro, parte de su seguridad es función de la competencia de otras personas —gente que nunca conocerás, trabajando en sistemas que nunca verás—.

Lo que sí puedes gobernar es la decisión de fondo: qué vive dónde. Un gestor de contraseñas es una herramienta razonable para los accesos del día a día, y casi todo el día a día puede tolerar ese riesgo. Pero el archivo que hay bajo los accesos —los diarios, las fotografías, los documentos que no entregarías a nadie— no tiene por qué ser una función de la plataforma de otro, replicada en sus copias de seguridad, esperando su mal diciembre.

Un disco que cifraste tú mismo no tiene copia en la nube de ningún proveedor ni índice a la vista. Tiene un lugar, un sello y una llave que solo existe en tu cabeza. Hemos aprendido que eso es lo que la gente quiere decir en realidad con seguro: no una promesa más fuerte de una empresa más grande, sino menos desconocidos entre ellos y las cosas que no pueden reemplazar.

Everkeep ofrece custodia sin conexión de discos cifrados que son tuyos y que cifras tú mismo. Los numeramos, los sellamos, los fotografiamos y los guardamos —dos copias, dos lugares— sin ver jamás lo que contienen. 199 $ al año por dispositivo.