LastPass, l’un des gestionnaires de mots de passe tiers les plus populaires, avertit tous les utilisateurs d’un incident de sécurité sur lequel son équipe enquête activement. Dans un article de blog publié mercredi, la société a assuré aux utilisateurs que les mots de passe restent toutefois chiffrés et en toute sécurité. « Nous avons déterminé qu’une partie non autorisée, en utilisant les informations obtenues lors de l’incident d’août 2022, a pu accéder à certains éléments des informations de nos clients », a écrit Karim Toubba, CEO de LastPass. Dans le cadre de nos efforts, nous continuons de déployer des mesures de sécurité et des capacités de surveillance améliorées sur l’ensemble de notre infrastructure afin de détecter et de prévenir toute nouvelle activité d’acteur de menace, ajoute-t-il.
La violation est liée à un incident survenu en août dernier, au cours duquel une partie non autorisée a eu accès à certaines parties de l'environnement de développement de LastPass par le biais d'un seul compte de développeur compromis et a pris des morceaux du code source et certaines informations techniques exclusives de LastPass. À l'époque, le fournisseur avait déclaré qu'il n'y avait aucune preuve d'un accès non autorisé aux données des clients dans son environnement de production.
Des morceaux de code source volés
Aujourd'hui, LastPass affirme que la partie non autorisée a pu accéder à certains éléments des informations de ses clients. M. Toubba ne précise pas quels sont ces éléments ni combien d'utilisateurs ont été touchés. LastPass propose des applications pour Mac et iOS et est très populaire parmi les utilisateurs de l’écosystème Apple. Le fournisseur a déclaré avoir travaillé avec la société de cybersécurité Mandiant pour enquêter sur l'incident et a confirmé avoir informé les forces de l'ordre de l'attaque. « Bien que les mots de passe semblent être sûrs, ce n'est pas une mauvaise idée de changer votre mot de passe principal si vous utilisez LastPass. Et gardez certainement un œil sur tous vos comptes pour détecter toute activité suspecte jusqu'à ce que nous en sachions plus », rapporte la société.
« Nous avons déterminé qu'une partie non autorisée, utilisant les informations obtenues lors de l'incident du 20 août 2022, a pu avoir accès à certains éléments d'information de nos clients », a écrit Karim Toubba, PDG de LastPass. Dans le cadre de nos efforts, nous continuons à déployer des mesures de sécurité renforcées et des capacités de surveillance à travers notre infrastructure pour aider à détecter et à prévenir toute autre activité d'acteurs menaçants.