LastPass souffre d'une violation de données et d'un vol de code source

Les cyberattaquants ont compromis les systèmes internes de LastPass, s'emparant du code source et de la propriété intellectuelle.

La société de gestion de mots de passe a déclaré avoir détecté une activité anormale dans son environnement de développement il y a deux semaines. Après avoir fouillé dans les données médico-légales, les enquêteurs ont déterminé que quelqu'un (ou quelqu'un) avait compromis un compte de développeur pour accéder au réseau, en prenant "des portions de code source et certaines informations techniques propriétaires de LastPass", selon un annonce publiée cette semaine.

Surtout, les adversaires n'ont pas pu accéder aux données des clients ou aux coffres-forts de mots de passe cryptés.

"Nous utilisons une architecture "zéro connaissance" standard de l'industrie qui garantit que LastPass ne peut jamais connaître ou accéder au mot de passe principal de nos clients [et cela] garantit que seul le client a accès pour déchiffrer les données du coffre-fort", selon LastPass.

Cela dit, Ajay Arora, co-fondateur et président de BluBracket, a noté que les attaquants rechercheront attentivement les faiblesses potentielles à exploiter dans le code source de LastPass, ce qui pourrait conduire à des attaques ultérieures.

"Une conséquence supplémentaire qui peut se produire à partir d'un code source volé ou divulgué est que ce code peut divulguer des secrets sur l'architecture d'une application", a-t-il déclaré via une déclaration par courrier électronique. "Cela peut révéler des informations sur l'endroit où certaines données sont stockées et sur les autres ressources qu'une organisation peut utiliser. Ces facteurs pourraient alors équiper les mauvais acteurs pour infliger un préjudice supplémentaire à une organisation après coup.

Tom Kellermann, vice-président senior de la cyberstratégie chez Contrast Security, a également déclaré dans un communiqué que les attaquants auraient pu sonder pour voir s'ils pouvaient trouver une avenue dans les réseaux de partenaires ou de fournisseurs de LastPass.

"Les entreprises de cybersécurité sont ciblées pour faciliter île en île," il a dit. "Après le Violation FireEye, l'industrie aurait dû se réveiller. En 2022, les entreprises de cybersécurité doivent mettre en pratique ce qu'elles prêchent. Beaucoup sous-investissent encore dans leur propre cybersécurité. Attendez-vous à être touché et préparez-vous à réagir.