La violation de données de LastPast : Les pirates ont-ils vos clés de chiffrement ?

L'entreprise familiale de la solution de supervision des mots de passe, LastPass, qui a révélé fin 2022 que les coffres-forts de mots de passe de toute sa base de consommateurs étaient actuellement entre les mains d'escrocs, a en fait annoncé que les clés de sécurité de plusieurs de ses divers autres articles ont également été compromises.

Qu'est-ce que cela signifie pour ses clients ?

Qu'est-ce que la violation de données LastPass de 2022 ?

LastPass et ses clients n'ont vraiment pas eu l'année la plus efficace en 2022. Au mois d'août, l'entreprise a présenté dans un discours discret. message de blog que des délinquants avaient accédé à l'environnement de croissance de LastPass, au code de ressources ainsi qu'à des informations techniques. Le langage était garant, et décrivait une "tâche peu commune" et aussi l'événement comme "une croissance". Une zone FAQ a réconforté les clients que leurs coffres-forts, mots de passe, ainsi que les mots de passe maîtres étaient sécurisés, tout en déclarant, "nous ne conseillons aucune sorte d'activité à l'appui de nos clients ou administrateurs".

Un mois plus tard, après un examen en partenariat avec Mandiant, le post initial a été mis à jour, pour conforter davantage les clients de LastPass qu'il n'y avait, "aucune preuve que ce cas impliquait une sorte d'accessibilité aux données des clients ou aux coffres-forts de mots de passe cryptés", et aussi encore plus acheté aux utilisateurs avec la recommandation que, "les incidents de sûreté et de sécurité de tout type sont pénibles maiswant vous assurer que vos données personnelles et aussi vos mots de passe sont en sécurité dans notre traitement."

Cependant, fin novembre 2022, le site du blog a été mis à jour une fois de plus, en admettant que les cambrioleurs avaient réussi à s'enfuir avec "des éléments particuliers des informations de nos clients."

Enfin, dans une mise à jour de décembre 2022, LastPass a admis que des escrocs avaient réussi à exfiltrer les coffres-forts de données personnelles d'innombrables clients, comprenant des URL de sites Web non cryptés et des noms de sites, ainsi que des noms d'utilisateurs et des mots de passe cryptés, ainsi que des informations de sauvegarde, notamment des noms de clients, des adresses et des numéros de contact, des adresses électroniques, des adresses IP et des numéros partiels de cartes de crédit.

Encore une fois, LastPass a cherché à avoir les dommages de réputation, en mentionnant que, "il faudrait certainement des millions d'années pour présumer votre mot de passe principal en utilisant une technologie moderne de cassage de mot de passe généralement disponible."

Le pire est à venir pour les utilisateurs de LastPass ?

LastPass est une entreprise indépendante, détenue par GoTo (une société SaaS, précédemment connue sous le nom de LogMeIn), et bien que la violation de LastPass ait suscité le plus d'attention, l'infiltration initiale concernait un service d'espace de stockage en nuage tiers, utilisé à la fois par GoTo et LastPass. Comme LastPass a été compromis, GoTo l'a été aussi. Hazard stars a réussi à exfiltrer des sauvegardes cryptées des deux entreprises.

Le 23 janvier 2023, GoTo a publié une déclaration sur son blog précisant qu'elle a "des preuves qu'une étoile du danger a exfiltré une clé de chiffrement pour une partie des sauvegardes chiffrées", et en outre que les paramètres d'authentification multifactorielle (MFA) d'un petit sous-ensemble de leurs clients ont été affectés.

Ce que cela suggère, c'est que les malfaiteurs peuvent rapidement décrypter leurs éléments pris sans avoir besoin d'attendre d'innombrables années pour le faire.

On ne sait pas si les astuces de sécurité de la chambre forte de LastPass ont effectivement aussi été exfiltrées.

Rapports sur la compromission des coffres-forts LastPass

Presque aussitôt après la publication de la mise à jour de décembre, MUO a été contacté par des téléspectateurs affirmant que des mots de passe uniques conservés uniquement dans les coffres de LastPass étaient utilisés par des escrocs pour accéder à des comptes en ligne, provoquant des frappes de SIM-swapping.

Sur Twitter, des utilisateurs ont signalé que des porte-monnaie cryptographiques étaient attaqués et également vidés de leur contenu.ces graines étaient censées être stockées uniquement dans les coffres de LastPass.

Pour l'instant, LastPass n'a pas résolu ces rapports, ni les révélations de sa maison mère.

GoTo a au moins commencé à appeler les utilisateurs concernés et tous les mots de passe ont été instantanément réinitialisés.

Changez vos mots de passe pour tout

Les solutions d'administration des mots de passe existent pour garder vos mots de passe sécurisés et aussi inavouables. Si des hors-la-loi ont les clés de ce coffre, après cela, vos mots de passe appartiennent à n'importe quel individu qui peut en faire l'usage qu'il désire.

Le premier point que vous devez faire est de modifier vos mots de passe pour chaque service auquel vous avez accédé en ligne. Dans la mesure du possible, vous devez utiliser un nom d'utilisateur spécial ainsi qu'une adresse électronique.

Ce n'est jamais un bon concept de laisser vos clés intimes à quelqu'un d'autre pour les protéger. BitWarden est un superviseur de mots de passe que vous pouvez organiser par vous-même matériel, et aussi qui va certainement produire des noms d'utilisateur, des alias de courriel et des mots de passe pour chaque site Web que vous visitez. Comme vous l'exécutez par vous-même dispositif, vous n'avez pas à laisser vos mots de passe aux soins incertains d'une entreprise supplémentaire.

S'abonner à notre e-newsletter