LastPass hacké, les mots de passe de tous ses clients en danger

LastPass, le géant des gestionnaires de mots de passe confirme que des coffres-forts numériques ont été volés plus tôt cette année, lors d’une cyberattaque.

Les faits remontent au 20 août 2022, date à laquelle LastPass est victime d’un piratage massif. Alors que la société gestionnaire de mots de passe minimise l’incident, nous apprenons aujourd’hui que celui-ci est en fait beaucoup plus sérieux. En effet, dans un communiqué publié sur son blog, l’entreprise admet que les hackers ont récupéré les coffres-forts de ses clients.

Un dernier verrou à faire sauter
Il est généralement admis que les gestionnaires de mots de passe sont un moyen simple et efficace de protéger ses comptes en ligne. Le problème, c’est que l’utilisation du cloud s’est démocratisée parmi ces services. Or, c’est précisément par là que sont passés les pirates. En conséquence, ces derniers sont parvenus à copier une sauvegarde des données clients. Lesquelles contiennent, entre autres, les noms des entreprises et des utilisateurs finaux, les adresses de facturation, les adresses électroniques, les numéros de téléphone et les adresses IP.

Le PDG de LastPass, Karim Toubba, se veut toutefois rassurant. « Le mot de passe principal n’est jamais connu de LastPass et n’est ni stocké ni conservé par LastPass », écrit-il. « Le cryptage et le décryptage des données sont effectués uniquement sur le client LastPass local ». Autrement dit, les données restent sécurisées. Pour l’instant. Car si les pirates ne disposent pas d’un accès direct aux coffres-forts, rien ne les empêche de forcer l’ouverture. Le tout est une question de patience.

Mieux vaut prévenir que guérir
Même si LastPass assure mettre régulièrement ses coffres-forts à l’épreuve, le risque existe. Et pas seulement via la force brute. Ainsi, il est tout à fait possible que les hackers lancent une campagne de phishing pour récupérer les identifiants des clients. Si vous êtes client de LastPass, il convient donc de se méfier des e-mails ou SMS de l’entreprise qui vous demande de vérifier vos informations. La société affirme d’ailleurs qu’elle ne vous demandera jamais, en aucun cas, de lui donner vos identifiants.

Pour clore son communiqué, LastPass rappelle quelques consignes de sécurité. Évidemment, la première est de ne jamais réutiliser le mot de passe du coffre-fort. Si celui-ci est compromis, alors tous les mots de passe hébergés le sont également. En cas de doute, il convient de prendre votre courage à deux mains et de changer l’intégralité des mots de passe de votre coffre-fort. Et priorité aux comptes bancaires, de messageries et de vos réseaux sociaux pour éviter de plus larges dommages. Enfin, n’oubliez pas que le moyen le plus sûr de protéger votre coffre reste d’activer l’authentification à deux facteurs.