Violation du réseau d'entreprise LastPass : ce que vous devez savoir

Mise à jour du lundi 29 août : CyberHoot n’est pas le seul à mettre en garde contre toute réaction hâtive suite à la faille de sécurité chez LastPass. Voici un autre excellent article de nos confrères de Naked Security (une autre source de référence en matière d’informations et d’analyses sur la cybersécurité) concernant cette faille. Ils restent fermement convaincus de l’intérêt d’utiliser un gestionnaire de mots de passe et répondent même aux questions les plus fréquemment posées après cette fuite.

Le 25 août 2022, LastPass a signalé une faille de sécurité sur son réseau d'entreprise aux utilisateurs de sa solution de gestion de mots de passe. Ils ont affirmé qu'aucune donnée utilisateur n'avait été volée, mais que le code source l'avait été. CyberHoot recommandant l'utilisation d'un gestionnaire de mots de passe, nous partageons ces points de discussion avec nos clients et utilisateurs. 

Faits et points de discussion sur la violation de LastPass

1. Ce n'est pas le produit LastPass qui a été piraté, mais son réseau d'entreprise. Aucune donnée client n'a été volée.
2. Aucun logiciel n'est parfait, y compris LastPass, Excel ou tout autre gestionnaire de mots de passe. Des compromis sont possibles et inévitables.
3. Des études et l'histoire ont montré que les entreprises qui n'adoptent pas de gestionnaire de mots de passe subissent davantage de violations que celles qui en adoptent (en raison de la réutilisation des mots de passe). (Source : Rapport de violation de données de Verizon)
4. Avoir été victime d'une violation est certainement une mauvaise chose chez LastPass, mais leur transparence à ce sujet est une bonne chose.
5. Il a été vérifié de manière indépendante que LastPass respecte les meilleures pratiques en matière de cryptage de vos données et de salage et de hachage de votre mot de passe principal.
6. Les experts en sécurité ont examiné et vérifié que LastPass n'a pas accès à vos données cryptées, à vos mots de passe principaux et qu'ils ne peuvent pas obtenir un tel accès.
7. CyberHoot adhère à la recommandation du secteur de la sécurité d'adopter un gestionnaire de mots de passe pour la sécurité renforcée qu'il offre aux employés.
8. LastPass a un programme de primes de bug Encourager les hackers white hat à signaler de manière responsable les problèmes de sécurité de leurs produits. C'est une excellente chose.
9. Solarwinds, Cisco, Microsoft, ont tous récemment subi des failles de sécurité dans leurs produits ou leur réseau d'entreprise. Les failles de sécurité sont inévitables.
10. AvoirIBeenPwned.com Selon CyberHoot, 11.9 milliards de comptes publics sont exposés en ligne. Le nombre de comptes exposés sur le dark web est estimé entre 5 et 15 fois supérieur.
11. Même les entreprises de sécurité comme Noir de carbone et RSA Des réseaux ont été piratés et des adresses IP volées par le passé. La question n'est pas de savoir si, mais quand. 

Étant donné que des violations peuvent survenir dans n’importe quelle entreprise, y compris celles axées sur la sécurité, que devez-vous rechercher dans les entreprises dont vous achetez les logiciels ?

CyberHoot estime qu'il est important de tenir compte de la transparence de chaque entreprise face à une violation de données. LastPass, à son crédit, a toujours fait preuve d'une grande transparence concernant ses problèmes de sécurité, tant dans cette situation que par le passé.

Dois-je arrêter d’utiliser LastPass ?

Non. CyberHoot ne voit actuellement aucune raison de cesser d'utiliser LastPass. Nous continuerons de surveiller et de signaler l'évolution de la situation.

Recommandations de CyberHoot à la lumière de la violation de LastPass :​

Les mêmes conseils que nous avons toujours donnés s'appliquent à vos entreprises. Cela peut paraître un peu abusif, mais aujourd'hui plus que jamais, vous devez prendre la cybersécurité au sérieux dans vos organisations et adopter les pratiques décrites ci-dessous. 

1. Activez toujours MFA pour accéder à n’importe quel gestionnaire de mots de passe, y compris LastPass.
2. Communiquez cet incident et votre soutien continu à l’utilisation d’un gestionnaire de mots de passe à vos utilisateurs.
3. Formez vos employés à l'authentification multifacteur (MFA), aux attaques de phishing, à la gestion des mots de passe, aux rançongiciels, etc. Intégrez des formations régulières (mensuelles).
4. Gérez vos employés avec des politiques de gouvernance de cybersécurité, y compris une politique de mot de passe.
5. Créez un cadre de gestion des risques dans votre entreprise pour évaluer des situations comme celle-ci et gérer et atténuer les risques pour votre entreprise.
6. Envisagez de faire appel à un vCISO pour vous aider à élaborer votre programme de cybersécurité et votre résilience aux risques.

En suivant ces meilleures pratiques de cybersécurité, vous pouvez réduire considérablement les risques pour votre PME ou MSP.

Lectures et ressources supplémentaires :

Article de Naked Security du 23 décembre sur la faille de sécurité de LastPass

Article de discussion sur la sécurité nue concernant la faille de sécurité de LastPass

Blog LastPass décrivant la violation et sa réponse