La empresa LastPass, conocida por ofrecer un servicio de gestión de contraseñas, informó que piratas informáticos accedieron a información de clientes a través de su entorno en Salesforce, una plataforma ampliamente utilizada por las compañías para gestionar sus relaciones con clientes. Según la compañía, el ataque se produjo después de que los atacantes robaran unos llamados tokens OAuth (sigla en inglés de «Open Authorization» o «Autorización Abierta»). Este mecanismo permite que diferentes servicios en línea se conecten entre sí sin necesidad de que los usuarios revelen sus contraseñas, lo que hace que su robo pueda generar riesgos de seguridad importantes.

El incidente forma parte de un ataque más amplio conocido como el «ataque a la cadena de suministro de Klue». En este tipo de ataques, los ciberdelincuentes no atacan directamente a la empresa principal, sino que aprovechan vulnerabilidades en un proveedor o socio tecnológico para infiltrarse. Así, una brecha en un eslabón puede tener efectos en toda la red de compañías conectadas, como ocurrió en este caso.

LastPass explicó que, una vez detectada la actividad sospechosa, revocó los tokens comprometidos y reforzó sus controles de acceso. También afirmó que el ataque se limitó al entorno de Salesforce y que no afectó la bóveda de contraseñas ni otros sistemas principales donde se almacenan las claves cifradas de los usuarios. La compañía subrayó que continúa investigando el caso junto a expertos en ciberseguridad para comprender el alcance del incidente y reforzar sus defensas.

El hecho de que los ciberatacantes hayan burlado medidas tan sofisticadas pone en evidencia un desafío común: incluso organizaciones centradas en la seguridad deben depender de múltiples proveedores. Cada conexión externa puede convertirse en un punto débil. En palabras sencillas, proteger la información sensible hoy no solo significa cuidar la casa propia, sino también vigilar las puertas compartidas con los vecinos digitales.

Casos como este subrayan la importancia de combinar tecnología, capacitación y precaución. Para los usuarios, el mensaje principal es mantener hábitos seguros, como activar la autenticación en dos pasos —una verificación adicional además de la contraseña— y estar atentos a los avisos de seguridad emitidos por los servicios que utilizan.

El comunicado de LastPass ofrece cierta tranquilidad al afirmar que las contraseñas cifradas permanecen seguras, pero también recuerda lo cambiante que es el panorama de las amenazas en internet. Cada nueva conexión entre plataformas, cada herramienta o servicio externo, se convierte en una posible puerta de entrada si no cuenta con una protección sólida.

Aunque los detalles técnicos del ataque a Klue continúan siendo investigados, el suceso plantea una lección más amplia: la ciberseguridad no termina en el propio sistema de una empresa, sino que depende del conjunto de actores que conforman su cadena tecnológica. Entender esto ayuda a dimensionar por qué incluso compañías especializadas en resguardar nuestra información pueden verse afectadas por fallas externas.

El caso LastPass-Klue será seguramente analizado durante mucho tiempo dentro de la industria. Más allá de la complejidad técnica, sirve como recordatorio de que la confianza digital se construye cada día, no solo con contraseñas fuertes, sino también con una vigilancia constante y colaborativa frente a los riesgos.

Referencias

• BleepingComputer. (2026, junio 23). LastPass confirms data breach in Klue supply chain attack. BleepingComputer. https://www.bleepingcomputer.com/news/security/lastpass-confirms-data-breach-in-klue-supply-chain-attack/