Plusieurs utilisateurs du gestionnaire de mots de passe LastPass ont rapporté avoir reçu un email les prévenant de tentatives de connexion sur leur compte à l’aide de leur mot de passe maître.
LastPass assure de son côté ne pas avoir été compromis et que les attaques détectées sont du credential stuffing. L’entreprise avance aussi la possibilité que l’envoi de certaines de ces alertes était dû à une erreur.
Des tentatives de connexion à l'aide des véritables mots de passe maîtres des utilisateurs
Plusieurs utilisateurs se sont emparés de Twitter, Reddit ou encore Hacker News ces dernières heures pour rapporter qu’ils ont reçu un email de LastPass leur indiquant qu’une tentative de connexion avait été réalisée sur leur compte. « Quelqu’un vient d’utiliser votre mot de passe maître pour essayer de se connecter à votre compte depuis un appareil ou un lieu que nous n’avons pas reconnu. LastPass a bloqué la tentative, mais vous devriez y regarder de plus près. Était-ce vous ? » peut-on y lire, sous-entendant que les véritables mots de passe maîtres des utilisateurs ont été utilisés dans ces tentatives de connexion.
En comparant les emails reçus, plusieurs d’entre eux se sont rendu compte que les adresses IP indiquées dans le mail étaient similaires et semblaient provenir du Brésil, quand d’autres rapportaient des tentatives de connexion depuis d’autres pays. La majorité de ces utilisateurs affirment que leur mot de passe maître, qui leur sert à se connecter au gestionnaire de mots de passe, était unique à la plateforme et n’était stocké à aucun autre endroit, laissant rapidement craindre une brèche de sécurité au sein de LastPass.
D’autres témoignages d’utilisateurs indiquent qu’après avoir modifié leur mot de passe maître, ces derniers continuaient à recevoir des emails les prévenant d’une tentative de connexion, comme si leur nouveau de mot de passe avait été immédiatement compromis.
LastPass essaie de rassurer ses utilisateurs
Malgré les affirmations des utilisateurs, LastPass a rapidement communiqué pour nier que le service avait été compromis. À la place, le gestionnaire a indiqué que l’activité était le fait de bots, qui s’engageaient dans des attaques de type credential stuffing.
Le credential stuffing, ou bourrage d’identifiant, est un type d'attaque lors duquel des tentatives de connexion sont réalisées automatiquement en utilisant des paires adresse email/mot de passe issues de listes récupérées lors d’attaques précédentes.
Les attaquants essaient d’utiliser des identifiants obtenus lors d’une brèche d’un service pour se connecter sur un autre service, en pariant sur le fait que les utilisateurs ont réutilisé leurs identifiants à plusieurs endroits. Un peu plus tard, l’entreprise a poursuivi au sujet du credential stuffing, tout en indiquant que certaines des alertes de sécurité étaient probablement dues à une erreur, corrigée depuis.
Bob Diachenko, un chercheur en sécurité, a de son côté indiqué que les adresses mail et mots de passe des utilisateurs ayant reçu des alertes de sécurité n’étaient pas présents dans les logs du malware Redline Stealer, rendus publics récemment et qui contiennent des milliers de paires d’identifiants LastPass selon lui.
LastPass se veut rassurant et assure n’avoir aucune preuve que des comptes d’utilisateurs ont été compromis à la suite de ces possibles attaques. Si le doute persiste donc encore sur les raisons de ces envois d’alertes de sécurité, qu’ils soient dus à du credential stuffing ou à une simple erreur, il reste conseillé aux utilisateurs de LastPass de prendre les précautions habituelles en attendant de plus amples informations : changer leur mot de passe maître et activer l’authentification à multiples facteurs.
Sources : BleepingComputer, Twitter
