Le fabricant de gestionnaires de mots de passe LastPass informe ses clients que leurs informations personnelles et leurs dossiers d’assistance client ont été volés lors d’un récent piratage chez l’un de ses partenaires technologiques, marquant la dernière violation de données de l’entreprise ces dernières années.
Dans un e-mail partagé avec TechCrunch par un client concerné, LastPass a déclaré que la violation s’était produite au sein de la société d’études de marché Klue, et non dans ses propres systèmes. Cependant, les pirates ont abusé de leur accès pour obtenir des flux de données sur les clients LastPass.
LastPass est la dernière d’une liste croissante d’entreprises de cybersécurité qui ont signalé des vols de données à la suite de la violation de Klue, révélée par la société la semaine dernière. Plusieurs autres sociétés concernées incluent HackerOne, Recorded Future et Tanium.
Dans un article de blog partageant des informations sur l’incident, LastPass a déclaré que les pirates avaient pris les noms, numéros de téléphone, adresses e-mail et adresses physiques des clients, ainsi que les données des dossiers d’assistance client et les données relatives aux ventes.
LastPass a déclaré que la propre infrastructure de l’entreprise n’était pas affectée, y compris les coffres-forts de mots de passe des clients.
On ne sait pas encore ce que contenait le contenu des tickets d’assistance client, même s’ils contiennent probablement des fragments d’informations potentiellement privées ou sensibles. Les clients contactent généralement le service client lorsqu’ils rencontrent un problème de facturation ou ont besoin d’aide pour accéder à leurs comptes. Les incidents passés impliquant des tickets d’assistance client concernaient des informations d’identification et des pièces d’identité émises par le gouvernement.
Les porte-parole de LastPass n’ont pas immédiatement répondu à la demande de commentaires de TechCrunch ni aux questions sur l’incident, notamment sur le nombre de clients concernés par l’incident.
LastPass compte plus de 33 millions d’utilisateurs et environ 1,6 million de clients payants en 2024, selon son site Internet.
LastPass a déjà subi une violation de données en 2022, au cours de laquelle des pirates ont volé l’intégralité du stockage de mots de passe clients de l’entreprise, qui sont utilisés pour stocker leurs informations d’identification sensibles, telles que des mots de passe, des jetons et d’autres numéros de cartes personnelles et de crédit.
Alors que les coffres-forts étaient cryptés avec des mots de passe principaux connus uniquement du client, la violation a permis aux pirates informatiques de forcer brutalement et de pirater les coffres-forts hors ligne avec les mots de passe principaux les plus faibles, puis d’accéder aux secrets qu’ils contiennent. Plusieurs vols de cryptomonnaies ont ensuite été liés à la faille LastPass, après que des pirates informatiques aient été soupçonnés d’avoir volé les clés du portefeuille de la victime en piratant son coffre-fort de mots de passe.
Le PDG de Klue, Jason Smith, a déclaré dans un article de blog que la société avait identifié des pirates informatiques dans ses systèmes le 12 juin. Un groupe de piratage et d’extorsion appelé Icarus s’est attribué le mérite de la violation et a publiquement menacé de divulguer les données volées si une rançon n’était pas payée.
Smith n’a pas répondu aux e-mails de TechCrunch concernant l’incident, notamment sur le nombre de clients concernés ou si l’entreprise a été en contact avec les pirates.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
