Vous devriez arrêter d’utiliser LastPass

LastPass était autrefois l’un des meilleurs gestionnaires de mots de passe, mais plus récemment, sa réputation a été mise à mal par de multiples failles de sécurité. Maintenant, la société a confirmé que le dernier était vraiment mal.

LastPass a subi une faille de sécurité en août, lorsqu’un pirate a eu accès aux environnements de développement et a pu voler le code source et d’autres informations exclusives. Plus tard en décembre, LastPass a confirmé qu’un pirate informatique avait pu utiliser ces données pour « accéder à certains éléments des informations de nos clients ». La société n’a pas précisé ce que signifiaient « certains éléments », jusqu’à présent.

LastPass vient de dévoiler toute l’étendue de l’attaque, à la suite d’une « enquête en cours ». Le pirate a pu accéder à un environnement de stockage en nuage en utilisant les données de la faille de sécurité d’août, qui comprenaient « des informations de base sur le compte client et les métadonnées associées, y compris les noms de société, les noms d’utilisateur final, les adresses de facturation, les adresses e-mail, les numéros de téléphone et les adresses IP à partir duquel les clients accédaient au service LastPass. Les informations de carte de crédit n’ont apparemment pas été consultées.

Le pire, c’est que le pirate a réussi à copier les données du coffre-fort à partir de LastPass, bien que la société l’appelle « une sauvegarde », de sorte que l’ancienneté des données n’est pas claire. La société affirme que les mots de passe réels sont toujours sûrs, car ils utilisent un cryptage AES 256 bits basé sur le mot de passe principal d’une personne. Cependant, si le mot de passe principal de quelqu’un peut être obtenu (par exemple, avec un e-mail de phishing imitant une page de connexion LastPass), il peut être possible de déverrouiller les données chiffrées et de voir tous les mots de passe de quelqu’un.

Même sans le mot de passe principal, les données divulguées pourraient être dommageables pour certains utilisateurs de LastPass. Les noms et les adresses de facturation peuvent être utilisés dans plus d’attaques, et les adresses de sites Web pour les mots de passe stockés n’ont pas été cryptées. Quelqu’un avec les données divulguées pourrait voir tous les sites Web associés à des mots de passe, puis les utiliser pour un hameçonnage plus ciblé. Par exemple, si quelqu’un a un mot de passe pour le site Web de Bank of America, il peut y avoir un compte et constituer une excellente cible pour les e-mails de phishing qui ressemblent à des alertes de compte de la banque.

C’est à peu près le pire incident de sécurité imaginable pour un gestionnaire de mots de passe comme LastPass – presque toutes les données en possession de l’entreprise ont été copiées. Le chiffrement côté client a évité le vol de chaque mot de passe, mais comme mentionné précédemment, il suffit d’un mot de passe principal faible ou d’une attaque de phishing pour déverrouiller ces données pour un compte. Cela, combiné à de mauvais antécédents en matière de réponse aux problèmes de sécurité et à de multiples autres violations récentes, est une bonne justification pour cesser d’utiliser LastPass.

Si vous utilisez LastPass, vous devez changer votre mot de passe principal dès que possible et être à l’affût des e-mails sommaires pour les semaines et les mois à venir. Vous pouvez également envisager de changer chaque mot de passe stocké dans LastPass – les pirates ont maintenant (probablement) ces données aussi, ils ne peuvent tout simplement pas les déverrouiller pour le moment.

Source : Last Pass