Ook LastPass is slachtoffer geworden een datalek na de hack bij marketingplatform Klue.
LastPass heeft klanten geïnformeerd dat persoonlijke gegevens en informatie uit supportdossiers zijn buitgemaakt bij een cyberaanval op een externe technologiepartner. De aanval trof niet de systemen van LastPass zelf, maar bij Klue. Hackers konden naast Salesforce-data ook klantgegevens bij LastPass ontfutselen.
De gestolen gegevens zijn dus afkomstig van marktonderzoeksbedrijf Klue, dat vorige week een datalek bekendmaakte. Ook andere cybersecuritybedrijven, waaronder HackerOne, Recorded Future en Tanium, werden door hetzelfde incident getroffen.
Persoonlijke gegevens buitgemaakt
Volgens LastPass kregen aanvallers toegang tot namen, e-mailadressen, telefoonnummers en fysieke adressen van klanten. Daarnaast werden gegevens uit supportickets en verkoopgerelateerde dossiers buitgemaakt.
De inhoud van de supportverzoeken is niet bekendgemaakt, maar zo’n dossiers kunnen gevoelige informatie bevatten zoals facturatieproblemen of identiteitsverificatie. LastPass benadrukt dat de eigen infrastructuur niet is gecompromitteerd en dat wachtwoordkluizen van gebruikers niet zijn geraakt.
Icarus verantwoordelijk
Klue ontdekte de inbraak op 12 juni. De afpersingsgroep Icarus heeft de verantwoordelijkheid opgeëist en dreigt de gestolen gegevens openbaar te maken als geen losgeld wordt betaald.
Het is niet bekend hoeveel klanten van LastPass door het incident zijn getroffen. Volgens het bedrijf had LastPass in 2024 ruim 33 miljoen gebruikers, waarvan ongeveer 1,6 miljoen betalende klanten.