LastPass : Fuite présumée ou cas isolés ?

LastPass est l’un des Gestionnaires de mots de passe  les gestionnaires de mots de passe les plus utilisés dans le secteur. Ces derniers jours, plusieurs groupes d’utilisateurs ont signalé que leur les mots de passe principaux avaient été compromis (prétendument) après avoir reçu plusieurs e-mails de la plateforme les avertissant que quelqu’un avait essayé de les utiliser pour se connecter à leurs comptes depuis des lieux inconnus.

Les notifications par e-mail mentionnent également que les tentatives de connexion ont été bloquées parce qu’elles ont été faites à partir de lieux inconnus aux 4 coins du globe. « Quelqu’un vient d’utiliser votre mot de passe principal pour tenter de se connecter à votre compte depuis un appareil ou un lieu que nous n’avons pas reconnu », préviennent les alertes de connexion. « LastPass a bloqué cette tentative, mais vous devriez regarder de plus près – était-ce vous ? »

La probabilité d’une fuite reste faible

Des rapports sur des mots de passe maîtres LastPass prétendument compromis ont continué à affluer sur les réseaux sociaux et les plateformes en ligne, ce qui a donné lieu à des spéculations selon lesquelles l’entreprise aurait pu être victime d’une fuite de données. Cependant, cela reste peu probable car LastPass ne stocke pas les mots de passe maîtres sur ses serveurs,  sa gestion se fait localement.

Un porte-parole du gestionnaire a fait état de la situation : « Nous avons enquêté sur les récents rapports de tentatives de connexion bloquées et déterminé que l’activité est liée à une activité assez courante liée à un bot, où un acteur malveillant tente d’accéder à des comptes d’utilisateurs (dans ce cas, LastPass) en utilisant des adresses e-mail et des mots de passe obtenus auprès de tiers, pour des violations sur d’autres services non affiliés. »

LastPass affirme n’avoir aucune indication que des comptes ont été consultés ou que l’ensemble du service a été compromis par une partie non autorisée. Dans tous les cas, jusqu’à ce que LastPass clarifie complètement la situation, il est recommandé de changer votre mot de passe principal même s’il n’a pas été compromis. Activez l’authentification à deux facteurs pour  vous assurer qu’une personne mal intentionnée ne puisse accéder aux comptes. Une autre possibilité est d’utiliser une open source, qui possède notamment l’avantage d’être gratuite.