A violação que transformou a segurança na nuvem
Atualizado para 2026
A violação da LastPass em 2022 não é principalmente uma história sobre gestores de senhas. É uma história sobre confiança. Empresas confiaram dados sensíveis a um fornecedor na nuvem. Essa confiança foi quebrada — não por negligência, mas por falhas ocultas.
A LastPass vendia um design de conhecimento zero. Na prática, não era realmente conhecimento zero. 25 milhões de usuários tiveram seus cofres criptografados roubados. A violação foi divulgada pela primeira vez em agosto de 2022. A LastPass atualizou suas comunicações várias vezes até o final de 2022 à medida que o alcance total ficou claro.
Para empresas de saúde, finanças e direito, esta não foi uma notícia distante. Esses setores enfrentam responsabilidade direta quando dados vazam. O caso LastPass foi um aviso claro de um problema mais amplo.
Duas falhas que tornaram a violação possível
A análise pós-violação encontrou duas fraquezas principais.
Derivação de chave fraca. A LastPass usava PBKDF2 para derivação de chave. Contas mais recentes tinham 100.100 iterações. A OWASP recomenda 600.000. Para contas mais antigas — algumas anteriores a 2018 — o número era tão baixo quanto 1 iteração. Menos iterações tornam ataques de força bruta rápidos e baratos. Atacantes com os arquivos de cofre podiam testar senhas mestras em alta velocidade.
Metadados em texto simples. Os conteúdos dos cofres estavam criptografados. Mas os metadados não estavam. URLs, nomes de usuário e nomes de serviços eram visíveis nos dados roubados. Os atacantes podiam ver quais serviços cada usuário utilizava. Isso permitia phishing direcionado e preenchimento de credenciais — sem necessidade de quebrar a criptografia.
Este caso mostra por que duas perguntas devem ser feitas separadamente. "O design é de conhecimento zero?" é uma pergunta. "A implementação está correta?" é outra pergunta.
Okta em 2023: um caminho diferente, o mesmo resultado
Em outubro de 2023, a Okta reportou uma violação. Uma credencial roubada deu a um atacante acesso ao seu sistema de suporte ao cliente. A violação expôs 600.000+ registros de suporte. Esses incluíam arquivos enviados por clientes durante sessões de suporte.
A Okta é uma plataforma de segurança de identidade. O problema não foi uma falha de design. Foi uma falha de controle de acesso. As credenciais de um engenheiro de suporte foram roubadas. O atacante usou esse login válido para acessar dados sensíveis.
LastPass e Okta mostram os dois caminhos principais para uma violação de fornecedor:
- Falhas de design — promessas de conhecimento zero não implementadas corretamente
- Falhas de controle de acesso — credenciais válidas usadas para acessar dados não autorizados
A arquitetura de conhecimento zero previne o primeiro tipo. Ela não impede um atacante com credenciais de suporte válidas. Mas impede que esse atacante leia dados de clientes em texto simples. O fornecedor nunca armazena conteúdo decifrável. Consulte nossa visão geral de segurança e conformidade para mais detalhes.
Incidentes SaaS cresceram 300 % em dois anos
A Obsidian Security encontrou um aumento de 300 % nos incidentes de segurança em plataformas SaaS de 2022 a 2024.
Isso não reflete um aumento de 300 % nas habilidades dos atacantes. Duas forças impulsionaram o crescimento. A adoção de SaaS cresceu rapidamente. Os atacantes seguiram os dados. Uma única violação de fornecedor pode expor dados de dezenas de clientes empresariais de uma vez. Essa relação custo-benefício favorece atacar fornecedores em vez de empresas individuais.
Empresas que assumiam que plataformas na nuvem eram seguras precisam atualizar essa visão. Fornecedores SaaS são agora alvos prioritários.
Perguntas para qualquer fornecedor na nuvem
Esta lista cobre as áreas essenciais.
Criptografia:
- Solicite o algoritmo de derivação de chave, o número de iterações e os parâmetros de memória.
- Confirme que o número de iterações atende aos mínimos da OWASP: 600.000 PBKDF2-SHA256 ou Argon2id equivalente.
- Verifique se a derivação de chave ocorre no seu dispositivo, não nos servidores do fornecedor.
Exposição de metadados:
- Pergunte quais metadados são armazenados em texto simples junto ao conteúdo criptografado.
- Solicite um modelo de dados mostrando quais campos são criptografados e quais ficariam visíveis em uma violação.
Acesso de suporte:
- Pergunte se a equipe de suporte pode acessar dados de clientes.
- Confirme que os sistemas de suporte não podem acessar texto simples de clientes.
Histórico de incidentes:
- Solicite todos os incidentes de segurança anteriores, incluindo os abaixo do limite de divulgação pública.
- Avalie a completude e transparência das divulgações anteriores.
A violação da LastPass foi uma falha de implementação e uma falha de transparência. Fornecedores com respostas concretas permitem uma avaliação real de riscos. Aqueles com afirmações vagas ocultam riscos que tendem a aparecer apenas após uma violação. Consulte nossa visão geral de conformidade para orientação na avaliação de fornecedores.
anonym.legal utiliza arquitetura de conhecimento zero para anonimização de dados pessoais. A derivação de chave ocorre via Argon2id no seu navegador ou aplicativo de desktop. A criptografia acontece antes de os dados saírem do seu dispositivo. Os servidores armazenam apenas texto cifrado que não podem decifrar. Saiba mais.