La brecha que cambió la seguridad en la nube
Actualizado para 2026
La brecha de LastPass de 2022 no es principalmente una historia sobre gestores de contraseñas. Es una historia sobre confianza. Las empresas confiaron datos sensibles a un proveedor en la nube. Esa confianza se rompió — no por imprudencia, sino por fallos ocultos.
LastPass vendía un diseño de conocimiento cero. En la práctica, no era realmente de conocimiento cero. 25 millones de usuarios tuvieron sus bóvedas cifradas robadas. La brecha se divulgó por primera vez en agosto de 2022. LastPass actualizó sus comunicados varias veces hasta finales de 2022 a medida que el alcance completo quedó claro.
Para empresas de salud, finanzas y derecho, esto no fue una noticia lejana. Estos sectores enfrentan responsabilidad directa cuando los datos se filtran. El caso LastPass fue una advertencia clara de un problema más amplio.
Dos fallos que hicieron posible la brecha
El análisis posterior a la brecha encontró dos debilidades clave.
Derivación de clave débil. LastPass usaba PBKDF2 para la derivación de clave. Las cuentas más recientes tenían 100.100 iteraciones. La OWASP recomienda 600.000. Para cuentas más antiguas — algunas anteriores a 2018 — el número era tan bajo como 1 iteración. Menos iteraciones hacen los ataques de fuerza bruta rápidos y baratos. Los atacantes con los archivos de bóveda podían probar contraseñas maestras a gran velocidad.
Metadatos en texto claro. Los contenidos de las bóvedas estaban cifrados. Pero los metadatos no. URLs, nombres de usuario y nombres de servicios eran visibles en los datos robados. Los atacantes podían ver qué servicios usaba cada usuario. Eso permitía phishing dirigido y relleno de credenciales — sin necesidad de descifrar la bóveda.
Este caso muestra por qué dos preguntas deben hacerse por separado. "¿Es el diseño de conocimiento cero?" es una pregunta. "¿Es la implementación correcta?" es otra.
Okta en 2023: un camino diferente, el mismo resultado
En octubre de 2023, Okta reportó una brecha. Una credencial robada dio a un atacante acceso a su sistema de soporte al cliente. La brecha expuso 600.000+ registros de soporte. Estos incluían archivos subidos por clientes durante sesiones de soporte.
Okta es una plataforma de seguridad de identidad. El problema no fue un fallo de diseño. Fue un fallo de control de acceso. Las credenciales de un ingeniero de soporte fueron robadas. El atacante usó ese inicio de sesión válido para acceder a datos sensibles.
LastPass y Okta muestran los dos caminos principales hacia una brecha de proveedor:
- Fallos de diseño — promesas de conocimiento cero mal implementadas
- Fallos de control de acceso — credenciales válidas usadas para acceder a datos no autorizados
La arquitectura de conocimiento cero previene el primer tipo. No detiene a un atacante con credenciales de soporte válidas. Pero sí impide que ese atacante lea datos de clientes en texto claro. El proveedor nunca almacena contenido descifrable. Consulte nuestro resumen de seguridad y cumplimiento para más detalles.
Los incidentes SaaS aumentaron un 300 % en dos años
Obsidian Security encontró un aumento del 300 % en incidentes de seguridad SaaS de 2022 a 2024.
Esto no refleja un aumento del 300 % en las habilidades de los atacantes. Dos fuerzas lo impulsaron. La adopción de SaaS creció rápido. Los atacantes siguieron los datos. Una sola brecha de proveedor puede exponer datos de docenas de clientes empresariales a la vez. Esa relación coste-beneficio favorece atacar a los proveedores en lugar de a empresas individuales.
Las empresas que asumían que las plataformas en la nube eran seguras deben actualizar esa visión. Los proveedores SaaS son ahora objetivos prioritarios.
Preguntas para cualquier proveedor en la nube
Esta lista cubre las áreas esenciales.
Cifrado:
- Solicite el algoritmo de derivación de clave, el número de iteraciones y los parámetros de memoria.
- Confirme que el número de iteraciones cumple los mínimos de OWASP: 600.000 PBKDF2-SHA256 o Argon2id equivalente.
- Verifique que la derivación de clave se ejecuta en su dispositivo, no en los servidores del proveedor.
Exposición de metadatos:
- Pregunte qué metadatos se almacenan en texto claro junto al contenido cifrado.
- Solicite un modelo de datos que muestre qué campos están cifrados y cuáles serían visibles en una brecha.
Acceso de soporte:
- Pregunte si el personal de soporte puede acceder a los datos de los clientes.
- Confirme que los sistemas de soporte no pueden acceder al texto claro de los clientes.
Historial de incidentes:
- Solicite todos los incidentes de seguridad anteriores, incluidos los que no alcanzaron el umbral de divulgación pública.
- Evalúe la integridad y transparencia de las divulgaciones previas.
La brecha de LastPass fue un fallo de implementación y un fallo de transparencia. Los proveedores con respuestas concretas permiten una evaluación real de riesgos. Los que ofrecen afirmaciones vagas ocultan riesgos que suelen aparecer solo después de una brecha. Consulte nuestro resumen de cumplimiento para orientación en la evaluación de proveedores.
anonym.legal utiliza arquitectura de conocimiento cero para la anonimización de datos personales. La derivación de clave se ejecuta mediante Argon2id en su navegador o aplicación de escritorio. El cifrado ocurre antes de que los datos abandonen su dispositivo. Los servidores almacenan solo texto cifrado que no pueden descifrar. Más información.