Rien de tel qu’une fausse alerte de sécurité pour vous faire baisser la garde. Une campagne de phishing cible actuellement les utilisateurs de LastPass avec des notifications bidon qui les renvoient vers des sites frauduleux, taillés pour aspirer leurs identifiants. Le gestionnaire de mots de passe dit avoir repéré des messages imitant ses notifications internes ou de faux avertissements d’accès non autorisé. L’objectif tient en une ligne : pousser la cible à cliquer avant qu’elle ne pense à vérifier l’expéditeur.
Le timing est mauvais pour les clients de LastPass. L’entreprise avait déjà prévenu certains utilisateurs qu’une compromission chez un tiers avait exposé des données de contact et de support, matière première idéale pour fabriquer des messages crédibles. En revanche, elle assure que ses coffres-forts chiffrés et ses mots de passe maîtres n’ont pas été touchés. Le danger immédiat, c’est l’ingénierie sociale, pas une fuite de vaults.
Points clés
- LastPass alerte sur une campagne de phishing utilisant de fausses notifications de sécurité
- Les coffres-forts chiffrés et mots de passe maîtres ne sont pas compromis, le risque est l’ingénierie sociale
- Des données de contact issues d’une intrusion chez un tiers rendent les messages plus crédibles
- Réflexes recommandés : vérifier l’expéditeur, ne jamais cliquer sur les liens reçus, activer le MFA
Des faux messages taillés pour l’urgence
Les attaquants misent sur des notifications de sécurité factices pour simuler une activité suspecte : export de coffre, ajout d’un nouvel appareil de confiance, tentative de récupération du compte, bref, une action urgente à valider tout de suite. Les liens intégrés redirigent vers de fausses pages de connexion, souvent bâties autour d’un domaine central décliné en variantes très proches. LastPass le répète : aucun employé ne réclamera jamais votre mot de passe maître.
La consigne est classique mais efficace. Vérifier l’adresse complète de l’expéditeur, se méfier des messages pressants et ne jamais suivre un lien reçu par e-mail ou SMS. En cas de doute, mieux vaut transmettre le message à l’adresse de signalement sécurité que d’aller tester la page proposée.
Des données de contact fraîches qui huilent l’arnaque
Ce genre de campagne prospère sur un terreau déjà fertile. Les informations de contact liées à LastPass circulent depuis l’intrusion chez un prestataire, ce qui permet d’adapter chaque message au nom de la victime, à son adresse e-mail ou à d’anciens échanges de support. Plus l’attaquant a de contexte, plus le faux avertissement sonne juste.
LastPass n’est pas seul sur la ligne de mire : Bitwarden est visé par des campagnes similaires. Les gestionnaires de mots de passe sont des cibles de choix, puisqu’un seul clic peut ouvrir la porte à des dizaines de comptes. Ici, personne ne cherche à casser le chiffrement du coffre : il suffit de détourner l’utilisateur vers une fausse page de connexion ou de récupération.
Les réflexes à garder en tête
- Ouvrir LastPass depuis un favori ou l’application, jamais depuis un lien reçu.
- Contrôler l’adresse de l’expéditeur avant toute action.
- Ignorer toute demande de mot de passe maître.
- Signaler les messages suspects à LastPass.
- Activer l’authentification multifacteur si ce n’est pas déjà fait.
Le coffre-fort le mieux chiffré du monde ne sert à rien si son propriétaire tend la clé au premier venu.
