LastPass, nuovo breach via Klue: vault al sicuro ma dati…

LastPass ha notificato un data breach indiretto tramite il fornitore Klue. I vault password sono al sicuro, ma dati personali sono stati esposti. Ecco cosa sappiamo.

Nota editoriale: Le fonti riportano date nel 2026, che presentano un'anomalia temporale non chiarita; DeafNews le riporta come da fonte originale.

LastPass ha notificato pubblicamente un data breach indiretto il 24 giugno 2026. L'intrusione non ha colpito direttamente i sistemi dell'azienda, ma quelli di Klue, fornitore esterno specializzato in ricerche di mercato e gestione delle relazioni con clienti. Il gruppo criminale Icarus ha rivendicato l'operazione, che ha esposto dati personali ma non i vault delle password.

Punti chiave

Il breach è indiretto: l'attacco ha colpito Klue, fornitore di LastPass, non i sistemi interni del password manager.
I dati esposti includono nomi, indirizzi email, numeri di telefono, indirizzi fisici, ticket di supporto e dati commerciali; i vault password non sono stati compromessi.
Il vettore tecnico è la compromissione di token OAuth su Salesforce, ottenuti tramite credenziali legacy di Klue.
Oltre a LastPass, il breach Klue ha coinvolto HackerOne, Recorded Future, Tanium, Gong, Jamf, Insurity, OneTrust, Snyk e Sprout Social.

L'attacco del 12 giugno e la notifica di LastPass

Klue ha identificato attività non autorizzata nei propri sistemi il 12 giugno 2026. Il CEO Jason Smith ha reso noto in una dichiarazione ufficiale che gli attaccanti hanno usato credenziali legacy compromesse per ottenere token OAuth. Questi token hanno permesso l'accesso all'infrastruttura Salesforce integrata con Klue.

LastPass ha notificato il breach il 24 giugno, dodici giorni dopo l'identificazione da parte di Klue. Nel periodo intermedio ha revocato gli accessi dei dipendenti alla piattaforma Klue e ruotato i token API. L'azienda ha anche avviato un'indagine e avvisato le autorità competenti.

LastPass ha condiviso pubblicamente indicatori di compromissione. Secondo HWUpgrade, questi includono quattro indirizzi IP e tre domini australiani: baccarat.com.au, robinskitchen.com.au e house.com.au.

"Il nocciolo del servizio, ovvero le password e le credenziali dei siti, è rimasto al sicuro" — HDblog.it, citando LastPass

La distinzione tra dati CRM e vault crittografati è centrale per comprendere la portata dell'incidente. LastPass ha esplicitamente escluso che le credenziali archiviate dagli utenti siano state toccate. Tuttavia, l'esposizione di nomi, email, telefoni e indirizzi fisici — unita a ticket di supporto e dati commerciali — crea una superficie per campagne di phishing mirato.

Il vettore tecnico: OAuth e Salesforce

La compromissione di token OAuth rappresenta un pattern ricorrente negli attacchi a ecosistemi SaaS interconnessi. I token OAuth funzionano come chiavi di accesso delegato tra piattaforme: quando compromessi, permettono movimenti laterali senza necessità di rubare password primarie.

Nel caso Klue, gli attaccanti hanno sfruttato credenziali legacy per ottenere token validi su Salesforce. Questo ha aperto accesso ai dati CRM condivisi tra Klue e i suoi clienti, incluso LastPass. Il pivoting da credenziali obsolete a piattaforma CRM integrata è un vettore documentato in incidenti simili.

Klue stava lavorando con CrowdStrike per l'indagine forense al momento delle prime ricostruzioni pubbliche, secondo ZDNet. Il dossier non specifica la durata effettiva dell'accesso non autorizzato prima del 12 giugno.

Icarus e la lista delle vittime di Klue

A rivendicare l'attacco è stato il gruppo Icarus, specializzato in hacking ed estorsione. Cybersecitalia riporta che il gruppo ha minacciato la diffusione dei dati. Il dossier non conferma in modo indipendente se sia stato richiesto un riscatto esplicito, né documenta né esclude il pagamento di un riscatto da parte di Klue o LastPass.

La portata del breach Klue supera il caso LastPass. Le fonti convergenti riportano una lista di vittime che include aziende di sicurezza riconosciute come HackerOne, Recorded Future e Tanium. A queste si aggiungono Gong, Jamf, Insurity, OneTrust, Snyk e Sprout Social.

Il dossier non documenta moventi specifici o sovrapposizioni infrastrutturali che colleghino Icarus ad altri gruppi noti. La concentrazione di vittime nel settore tecnologico e della sicurezza suggerisce che il targetting possa essere stato influenzato dalla visibilità dei dati CRM accessibili tramite l'infrastruttura Klue-Salesforce.

La dipendenza da terze parti e i limiti del controllo

L'incidente evidenzia una tensione strutturale nella supply chain dei servizi digitali. LastPass promette di isolare le credenziali degli utenti con crittografia zero-knowledge, ma la sua sicurezza operativa dipende da ecosistemi di terze parti come Klue per funzioni di CRM e supporto.

Questa dipendenza crea una superficie di attacco che sfugge al controllo diretto dell'azienda. I dati esposti — nomi, email, telefoni, indirizzi, ticket di supporto — risiedevano in piattaforme gestite da fornitori, non nei sistemi crittografati di LastPass.

LastPass dichiara 33 milioni di utenti totali e 1,6 milioni di clienti paganti al 2024, secondo Cybersecitalia che cita TechCrunch come fonte originale. Il numero esatto di utenti coinvolti in questo specifico incidente non è stato reso pubblico. Il dossier non chiarisce inoltre se i dati esposti riguardino solo utenti business o anche consumer.

Cosa fare adesso

Gli utenti LastPass dovrebbero assumere che i propri dati di contatto siano circolanti in ambienti criminali. Questa consapevolezza è il primo passo per riconoscere tentativi di phishing mirato che sfruttino informazioni specifiche come nome, indirizzo o storico ticket di supporto.

LastPass ha pubblicato indicatori IoC che possono essere usati per monitorare contatti con l'infrastruttura nota degli attaccanti. Gli indirizzi IP segnalati sono 138.226.246[.]94, 94.154.32[.]160, 159.183.215[.]61 e 159.183.181[.]239.

Il dossier non documenta misure correttive specifiche adottate da Klue oltre all'indagine con CrowdStrike. Non fornisce indicazioni da parte di LastPass su eventuali compensazioni o servizi di monitoraggio dell'identità per gli utenti potenzialmente coinvolti.

La fiducia erosa

LastPass si trova a gestire un'altra crisi di reputazione dopo il breach del 2022. La distinzione tra vault sicuri e dati CRM esposti è tecnicamente corretta, ma il confine percepito dagli utenti è più sfumato. Un password manager che perde dati personali — anche indirettamente — indebolisce la narrazione di controllo totale sulla propria sicurezza digitale.

Il contesto competitivo include 1Password e Bitwarden come alternative nel mercato dei password manager. Queste realtà non sono coinvolte nell'incidente e non aggiungono elementi al caso specifico.

Questa ricostruzione si basa principalmente su HDblog.it e fonti editoriali convergenti. Manca un advisory strutturato di LastPass o Klue con identificatore CVE. Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti