La saga du piratage de LastPass continue. Début décembre 2022, la société annonçait quelle avait été attaquée en août 2022 mais aussi qu'une autre offensive avait été détectée. À l'époque, GoTo indiquait que les données n'avaient pas été compromises.
Un peu plus tard dans le mois, rebondissement : finalement, les pirates avaient réussi à récupérer des données sur les clients de la société, dont certaines n'étaient pas chiffrées. Plus exactement, les URL des sites liés aux mots de passe ne le sont pas, mais les identifiants ou les mots de passe le sont. GoTo en profitait pour rappeler que le mot de passe maître des données des utilisateurs n'est connu que par ces derniers : la compagnie n'est donc pas capable de déchiffrer les données. Malgré tout, les risques existent si ce mot de passe est faible ou évident. Si vous employez souvent le même mot de passe, par exemple, il peut avoir été dévoilé lors d'une autre attaque.
Le cas de LastPass s'aggrave : des mots de passe (chiffrés) sont entre les mains des pirates
Et dans un nouveau communiqué, GoTo explique que ce n'est pas fini : des données liées à plusieurs services de la société ont aussi été récupérées par les attaquants. Il s'agit de Central (un service lié à l'automatisation en entreprise), Pro — pour l'accès à distance —, join.me, qui permet l'accès à de la vidéoconférence, Hamachi (un logiciel de création de VPN) et RemotelyAnywhere, pour la prise en main à distance.
Les données récupérées sont des sauvegardes, stockées chez un fournisseur de cloud, et les attaquants ont aussi obtenu une clé qui permet de déchiffrer une partie des sauvegardes en question. Elles contiennent diverses informations qui vont du nom d'utilisateur aux mots de passe (salés et hachés, donc enregistrés sous une forme illisible), en passant par des réglages personnels ou des détails sur les licences. De plus, une partie des informations liées à l'authentification à plusieurs facteurs sont de la partie, sans plus de détails.
GoTo explique que les clients touchés ont été contactés et que les différents services ont été migrés sur une infrastructure plus sécurisée. Dans les cas des mots de passe, ils ont été réinitialisés, tout comme l'authentification à plusieurs facteurs. Enfin, la société rappelle qu'elle ne stocke ni les données personnelles (nom, date de naissance, etc.) ni les données bancaires… au moins jusqu'au prochain communiqué.