Le piratage subi par le gestionnaire de mots de passe en août 2022 a été bien plus large qu'annoncé, et des mots de passe se baladent dans la nature.
LastPass, qui nous avait réservé une mauvaise surprise de Noël, vient de poster sur son blog de nouvelles informations quant au nombre de données récupérées lors du piratage subi il y a quelques mois.
Les mots de passe chiffrés des utilisateurs ont été compromis
Si LastPass avait souhaité se montrer rassurante à l'époque, en indiquant qu'aucune donnée critique n'avait été dérobée, bien que les pirates aient pu avoir accès aux adresses de facturation, aux noms des clients et des entreprises ainsi qu'aux adresses mail et aux numéros de téléphone.
Il n'en était finalement rien, puisque LastPass annonce aujourd'hui que les hackers ont pu « copier les sauvegardes des coffres-forts clients contenant à la fois des données chiffrées et des données non chiffrées ». En clair, des mots de passe et les sites associés ont été récupéré lors de l'intrusion.
LastPass s'excuse et rappelle les bonnes pratiques à mettre en œuvre pour limiter les risques de piratage
La situation est critique pour LastPass, mais l'entreprise tient à rappeler que les données volées sont toujours chiffrées et a priori illisibles par les hackers et tous ceux ayant accès aux informations : « Ces champs cryptés restent sécurisés avec un cryptage AES 256 bits et ne peuvent être décryptés qu'avec une clé de cryptage unique dérivée du mot de passe principal de chaque utilisateur à l'aide de notre architecture Zero Knowledge. Pour rappel, le mot de passe principal n'est jamais connu de LastPass et n'est ni stocké ni conservé par LastPass. »
Seul le mot de passe maître, défini au préalable par l'utilisateur, peut déchiffrer les mots de passe contenus dans le coffre-fort numérique. Un hacker peut tenter malgré tout de saisir des milliers de combinaisons pour espérer trouver le bon mot de passe principal, soit ce que l'on appelle une attaque par force brute.
LastPass estime malgré tout que cette technique n'apportera pas de résultats probants. « Il faudrait des millions d'années pour trouver votre mot de passe à l'aide des technologies de cassage généralement utilisées », ajoute le service en ligne.
L'entreprise exhorte malgré tout ses utilisateurs à ne pas réutiliser le mot de passe maître de leur compte sur d'autres sites web et les invite à rester vigilants face aux tentatives de phishing, avec des escrocs pouvant se faire passer pour LastPass elle-même afin de récupérer des informations personnelles.
Source : LastPass
bon ensuite c’est sur que c’est le grand public qui se fait encore avoir une fois de plus part des boites, capables de proposer des solution qui sont des aberration à l’origine… mais bon 
, seulement quelques fois dans mes posts.
