{"id":524457,"date":"2022-12-23T02:36:23","date_gmt":"2022-12-23T04:36:23","guid":{"rendered":"https:\/\/teknomers.com\/fr\/lastpass-admet-une-grave-violation-de-donnees-et-des-coffres-forts-de-mots-de-passe-cryptes-compromis\/"},"modified":"2022-12-23T02:36:25","modified_gmt":"2022-12-23T04:36:25","slug":"lastpass-admet-une-grave-violation-de-donnees-et-des-coffres-forts-de-mots-de-passe-cryptes-compromis","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/lastpass-admet-une-grave-violation-de-donnees-et-des-coffres-forts-de-mots-de-passe-cryptes-compromis\/","title":{"rendered":"LastPass admet une grave violation de donn\u00e9es et des coffres-forts de mots de passe crypt\u00e9s compromis"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>23 d\u00e9cembre 2022<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Gestion des mots de passe \/ Violation des donn\u00e9es<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

La faille de s\u00e9curit\u00e9 de LastPass d’ao\u00fbt 2022 a peut-\u00eatre \u00e9t\u00e9 plus grave que ce que l’entreprise avait pr\u00e9c\u00e9demment divulgu\u00e9.<\/p>\n

Le service populaire de gestion des mots de passe a r\u00e9v\u00e9l\u00e9 jeudi que des acteurs malveillants avaient obtenu une mine d’informations personnelles appartenant \u00e0 ses clients, notamment leurs coffres-forts de mots de passe crypt\u00e9s \u00e0 l’aide de donn\u00e9es siphonn\u00e9es lors de l’effraction.<\/p>\n

Sont \u00e9galement vol\u00e9s “les informations de base sur le compte client et les m\u00e9tadonn\u00e9es associ\u00e9es, y compris les noms de soci\u00e9t\u00e9, les noms d’utilisateur final, les adresses de facturation, les adresses e-mail, les num\u00e9ros de t\u00e9l\u00e9phone et les adresses IP \u00e0 partir desquelles les clients acc\u00e9daient au service LastPass”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. m’a dit<\/a>.<\/p>\n

L’incident d’ao\u00fbt 2022, qui fait toujours l’objet d’une enqu\u00eate en cours, impliquait que les malfaiteurs acc\u00e9daient au code source et aux informations techniques exclusives de son environnement de d\u00e9veloppement via un seul compte d’employ\u00e9 compromis.<\/p>\n

\"La<\/a><\/center><\/div>\n

LastPass a d\u00e9clar\u00e9 que cela permettait \u00e0 l’attaquant non identifi\u00e9 d’obtenir des informations d’identification et des cl\u00e9s qui ont ensuite \u00e9t\u00e9 exploit\u00e9es pour extraire des informations d’une sauvegarde stock\u00e9e dans un service de stockage bas\u00e9 sur le cloud, qui, a-t-il soulign\u00e9, est physiquement s\u00e9par\u00e9 de son environnement de production.<\/p>\n

En plus de cela, l’adversaire aurait copi\u00e9 les donn\u00e9es du coffre-fort client \u00e0 partir du service de stockage crypt\u00e9. Il est stock\u00e9 dans un “format binaire propri\u00e9taire” qui contient \u00e0 la fois des donn\u00e9es non crypt\u00e9es, telles que les URL de sites Web, et des champs enti\u00e8rement crypt\u00e9s tels que les noms d’utilisateur et les mots de passe des sites Web, les notes s\u00e9curis\u00e9es et les donn\u00e9es remplies par formulaire.<\/p>\n

Ces champs, a expliqu\u00e9 la soci\u00e9t\u00e9, sont prot\u00e9g\u00e9s \u00e0 l’aide d’un cryptage AES 256 bits et ne peuvent \u00eatre d\u00e9cod\u00e9s qu’avec une cl\u00e9 d\u00e9riv\u00e9e du code de l’utilisateur. mot de passe ma\u00eetre<\/a> sur les appareils des utilisateurs.<\/p>\n

LastPass a confirm\u00e9 que la faille de s\u00e9curit\u00e9 n’impliquait pas l’acc\u00e8s aux donn\u00e9es de carte de cr\u00e9dit non crypt\u00e9es, car ces informations n’\u00e9taient pas archiv\u00e9es dans le conteneur de stockage en nuage.<\/p>\n

La soci\u00e9t\u00e9 n’a pas divulgu\u00e9 la date de la sauvegarde, mais a averti que l’acteur de la menace “pourrait tenter d’utiliser la force brute pour deviner votre mot de passe principal et d\u00e9chiffrer les copies des donn\u00e9es du coffre-fort qu’il a prises”, ainsi que cibler les clients avec l’ing\u00e9nierie sociale et attaques de credential stuffing.<\/p>\n

Il convient de noter \u00e0 ce stade que le succ\u00e8s des attaques par force brute pour pr\u00e9dire les mots de passe ma\u00eetres est inversement proportionnel \u00e0 leur force, ce qui signifie que plus il est facile de deviner le mot de passe, moins le nombre de tentatives n\u00e9cessaires pour le d\u00e9chiffrer est important.<\/p>\n

“Si vous r\u00e9utilisez votre mot de passe principal et que ce mot de passe a d\u00e9j\u00e0 \u00e9t\u00e9 compromis, un acteur malveillant peut utiliser des vidages d’informations d’identification compromises d\u00e9j\u00e0 disponibles sur Internet pour tenter d’acc\u00e9der \u00e0 votre compte”, a averti LastPass.<\/p>\n

Le fait que les URL des sites Web soient en clair signifie qu’un d\u00e9chiffrement r\u00e9ussi du mot de passe principal pourrait donner aux attaquants une id\u00e9e des sites Web sur lesquels un utilisateur particulier d\u00e9tient des comptes, leur permettant de monter des attaques de phishing ou de vol d’informations d’identification suppl\u00e9mentaires.<\/p>\n

La soci\u00e9t\u00e9 a en outre d\u00e9clar\u00e9 qu’elle avait notifi\u00e9 \u00e0 un petit sous-ensemble de ses clients professionnels \u2013 qui repr\u00e9sente moins de 3 % \u2013 de prendre certaines mesures non sp\u00e9cifi\u00e9es en fonction de la configuration de leurs comptes.<\/p>\n

Le d\u00e9veloppement intervient quelques jours apr\u00e8s qu’Okta a reconnu que les acteurs de la menace avaient obtenu un acc\u00e8s non autoris\u00e9 \u00e0 ses r\u00e9f\u00e9rentiels Workforce Identity Cloud (WIC) h\u00e9berg\u00e9s sur GitHub et copi\u00e9 le code source.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n