À nos clients LastPass,

Je souhaite vous faire part de nouvelles informations importantes sur l’incident de sécurité que nous avons rendu public le 22 décembre 2022.  Nous avons à présent terminé notre enquête exhaustive et n’avons pas détecté d’activité malveillante depuis le 26 octobre 2022.

Au cours de nos investigations, nous avons considérablement approfondi notre compréhension de ce qui s’est passé, et nous souhaitons partager ces connaissances avec vous aujourd’hui. Parallèlement, nous avons investi énormément de temps et d’énergie afin de renforcer notre sécurité, tout en améliorant nos procédures d’ensemble. Aujourd’hui, je vais donc vous présenter ces mesures, ainsi que d’autres initiatives que nous prenons.

Ce document est structuré de la manière suivante :
<ul>
 	<li><strong>Que s’est-il passé et quelles mesures avons-nous prises ?</strong></li>
 	<li><strong>Quelles données ont été exposées ?</strong></li>
 	<li><strong>Quelles mesures devez-vous prendre pour vous protéger ou protéger votre entreprise ?</strong></li>
 	<li><strong>Qu’avons-nous fait pour sécuriser LastPass ?  </strong></li>
 	<li><strong>Que pouvez-vous attendre de notre part à l’avenir ?</strong></li>
</ul>
Nous avons la chance de desservir des millions d’utilisateurs et plus de 100 000 entreprises, et nous voulons veiller à ce que tous nos clients disposent des informations nécessaires pour répondre à leurs interrogations. Compte tenu du volume d’informations que nous vous présentons aujourd’hui, ce document contient des résumés qui intègrent un lien vers des informations plus détaillées sur chaque sujet.

Nous avons entendu et pris à cœur vos critiques concernant le fait que nous aurions dû communiquer de manière plus fréquente et plus exhaustive tout au long de ce processus. La longueur de l’enquête nous a obligés à faire des compromis douloureux en la matière, mais nous comprenons et regrettons que nos premiers communiqués aient provoqué de la frustration, tant chez les entreprises que chez les particuliers qui comptent sur nos produits. En présentant ces informations complémentaires aujourd’hui, et comme nous comptons le faire à l’avenir, nous sommes déterminés à satisfaire nos clients en communicant plus efficacement.

Si vous préférez passer directement aux mesures recommandées par LastPass pour protéger votre compte ou votre entreprise, veuillez cliquer <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener">ici</a> pour les particuliers, et <a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener">ici</a> pour les administrateurs de comptes professionnels.

<strong><u>QUE S’EST-IL PASSÉ ET QUELLES MESURES AVONS-NOUS PRISES ?</u></strong>

Les deux incidents que nous avons rendus publics l’année dernière ont affecté LastPass et ses clients. Aucun des incidents n’est imputable à un défaut du produit LastPass, à un accès illicite aux systèmes en production, ou à une utilisation malveillante de ces derniers. L’acteur malveillant a exploité une vulnérabilité d’un logiciel tiers, a contourné des contrôles existants pour finir par accéder à des environnements de développement et de sauvegarde.

Nous avons communiqué des informations techniques, comme des indicateurs de piratage (Indicators of Compromise ou IOC) et des tactiques, techniques et procédures de l’acteur malveillant (threat actor tactics, techniques and procedures ou TTP) aux forces de l’ordre ainsi qu’à nos partenaires en matière de renseignement sur les menaces et d’analyse technique. À ce jour, l’identité et les motivations de l’acteur malveillant restent un mystère. Aucun contact n’a été établi, aucune demande n’a été formulée et aucune activité clandestine crédible n’a été détectée indiquant que l’acteur malveillant tenterait de monnayer les informations obtenues au cours de l’un ou l’autre des incidents.

<strong>Résumé du 1er incident</strong> : L’ordinateur portable d’un ingénieur logiciel a été piraté, ce qui a permis à l’acteur malveillant d’accéder à l’environnement de développement dans le cloud et de voler du code source, des informations techniques et certains secrets relatifs aux systèmes internes de LastPass. Aucune donnée client ou de coffre-fort n’a été volée au cours de cet incident, car ces données ne sont pas utilisées dans l’environnement de développement.  Nous avons déclaré l’incident clos, mais avons appris par la suite que les informations volées lors du premier incident avaient été utilisées pour identifier des cibles et mener à bien la seconde attaque.

En réponse au premier incident, nous avons mobilisé nos équipes de sécurité internes ainsi que des ressources de chez Mandiant.  Dans le cadre du processus de circonscription, d’éradication et de récupération, nous avons pris les mesures suivantes :
<ul>
 	<li>Suppression de l’environnement de développement et reconstruction d’un nouvel environnement pour assurer une circonscription et une éradication complètes.</li>
 	<li>Déploiement de technologies et de contrôles de sécurité supplémentaires pour renforcer les mesures existantes.</li>
 	<li>Modification de tous les secrets en clair utilisés par nos équipes et de tout certificat exposé.</li>
</ul>
Des informations détaillées sur le premier incident et les mesures correctives sont disponibles <a href="https://support.lastpass.com/help/incident-1-additional-details-of-the-attack" target="_blank" rel="noopener">ici</a>.

<strong>Résumé du 2e incident</strong> : L’acteur malveillant a pris pour cible un ingénieur DevOps senior en exploitant une vulnérabilité d’un logiciel tiers. Le pirate a exploité la faille pour injecter un logiciel malveillant, a contourné les contrôles existants, et a pu obtenir un accès illicite aux sauvegardes dans le cloud. Les données de ces sauvegardes contenaient des données de configuration système, des secrets d’API, des secrets d’intégrations tierces et des données de clients LastPass chiffrées et non chiffrées.

En réponse au deuxième incident, nous avons à nouveau mobilisé nos équipes et celles de Mandiant. Dans le cadre des activités de circonscription, d’éradication et de récupération liées au second incident, nous avons pris les mesures suivantes :
<ul>
 	<li>Analyse des ressources de stockage LastPass dans le cloud et application de stratégies et de contrôles supplémentaires.</li>
 	<li>Analyse et modification des privilèges de contrôle d’accès.</li>
 	<li>Changement des secrets et certificats auxquels le pirate a eu accès.</li>
</ul>
Des détails supplémentaires sur l’attaque et les mesures correctives sont disponibles <a href="https://support.lastpass.com/help/incident-2-additional-details-of-the-attack" target="_blank" rel="noopener">ici</a>.

<strong><u>QUELLES DONNÉES ONT ÉTÉ EXPOSÉES ?</u></strong>

Comme nous le mentionnons dans les résumés des deux incidents, l’acteur malveillant a volé des données propriétaires de LastPass et des données des clients, dont les suivantes :

<strong>Résumé des données consultées au cours du 1er incident :</strong>
<ul>
 	<li>14 des 200 dépôts de code source et de développement à la demande dans le cloud.</li>
 	<li>Scripts internes issus des dépôts, y compris des secrets et certificats LastPass.</li>
 	<li>Documentation technique interne décrivant le fonctionnement de l’environnement de développement.<strong> </strong></li>
</ul>
<strong>Résumé des données consultées au cours du 2e incident : </strong>
<ul>
 	<li>Secrets limités aux DevOps, et qui ont été utilisés pour accéder aux sauvegardes dans le cloud.</li>
 	<li>Sauvegardes dans le cloud, dont des données de configuration, des secrets d’API, des secrets d’intégrations tierces, des métadonnées client et des sauvegardes de l’ensemble des données de coffre-fort des clients. Toutes les données sensibles des coffres-forts des clients, à l’exception des URL, des chemins de fichiers vers les logiciels LastPass installés sous Windows ou macOS et de certains cas d’utilisation impliquant des adresses e-mail, étaient chiffrées dans le cadre de notre modèle zéro connaissance et ne peuvent être déchiffrées qu’à l’aide d’une clé de chiffrement unique dérivée du mot de passe maître de chaque utilisateur. Pour rappel, les mots de passe maîtres des utilisateurs finaux ne sont jamais connus de LastPass et ne sont pas stockés ou traités par LastPass, et ils n’ont donc pas été exfiltrés avec les autres données.</li>
 	<li>Sauvegarde de la base de données MFA/fédération de LastPass – Contient des copies de données de départ de LastPass Authenticator, des numéros de téléphone utilisés dans le cadre de l’option de sauvegarde de la MFA (lorsqu’elle est activée), ainsi qu’un composant de connaissance partagée (la « clé » K2) utilisé dans le cadre de la fédération LastPass (lorsqu’elle est activée). Cette base de données était chiffrée, mais la clé de déchiffrement, stockée séparément, fait partie des secrets dérobés par l’acteur malveillant au cours du 2e incident.</li>
</ul>
Des informations détaillées sur les données des clients affectées par ces incidents sont disponibles <a href="https://support.lastpass.com/help/what-data-was-accessed" target="_blank" rel="noopener">ici</a>.

<strong><u>QUELLES MESURES DEVEZ-VOUS PRENDRE POUR VOUS PROTÉGER OU PROTÉGER VOTRE ENTREPRISE ?</u></strong>

Pour mieux accompagner les efforts de gestion des incidents de nos clients, nous avons préparé deux bulletins de sécurité : un destiné à nos utilisateurs Free, Premium et Families et un destiné à nos utilisateurs Business et Teams. Chaque bulletin de sécurité contient des informations conçues pour aider nos clients à sécuriser leur compte LastPass et répondre à ces incidents de sécurité d’une façon qui nous semble adaptée à leurs besoins personnels ou au profil et à l’environnement de sécurité de leur organisation.
<ul>
 	<li><strong>Bulletin de sécurité : </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-free-premium-and-families-customers" target="_blank" rel="noopener"><strong>Mesures recommandées</strong></a><strong> pour les clients LastPass Free, Premium et Families. </strong>Ce bulletin aide nos clients Free, Premium et Families à examiner des réglages LastPass importants conçus pour protéger leur compte afin d’assurer le respect des meilleures pratiques.</li>
 	<li><strong>Bulletin de sécurité : </strong><a href="https://support.lastpass.com/help/security-bulletin-recommended-actions-for-business-administrators" target="_blank" rel="noopener"><strong>Mesures recommandées</strong></a><strong> pour les administrateurs LastPass Business. </strong>Ce bulletin aide les administrateurs de nos clients Business et Teams à effectuer une évaluation des risques associés à la configuration de leur compte LastPass et des intégrations tierces, avec ou sans fédération.</li>
</ul>
Pour toute question concernant les mesures recommandées, veuillez contacter l’assistance technique ou votre équipe de réussite client qui sont là pour vous aider.

<strong><u>QU’AVONS-NOUS FAIT POUR SÉCURISER LASTPASS ? </u></strong>

Depuis le mois d’août, nous avons déployé plusieurs nouvelles technologies de sécurité au sein de nos infrastructures, de nos centres de données et de nos hébergements dans le cloud afin de renforcer notre posture de sécurité. Bon nombre de ces mesures étaient déjà planifiées, ce qui nous a permis de les mettre en œuvre en un temps record, leur mise en œuvre ayant démarré avant même le premier incident.

Nous avons également donné la priorité à des investissements importants dans le domaine de la sécurité, de la confidentialité et des meilleures pratiques opérationnelles. Nous avons effectué un examen complet de nos politiques de sécurité, et nous avons intégré des modifications pour limiter les accès et les privilèges lorsque c’était possible. Nous avons mené à bien une analyse exhaustive des contrôles et configurations déjà en place, et apporté les modifications nécessaires pour renforcer la protection des environnements existants. Nous avons également commencé à étendre l’utilisation du chiffrement au sein de notre application et de nos infrastructures de sauvegarde. Enfin, nous avons commencé à élaborer des initiatives à long terme portant sur notre architecture pour stimuler l’évolution de la plate-forme LastPass.

Cliquez <a href="https://support.lastpass.com/help/what-have-we-done-to-ensure-lastpass-is-safe-to-use" target="_blank" rel="noopener">ici</a> pour consulter la liste des tâches déjà effectuées et des tâches qui sont sur notre feuille de route en matière de sécurité.

<strong><u>QUE POUVEZ-VOUS ATTENDRE DE NOTRE PART À L’AVENIR ?</u></strong>

Depuis notre communication du 22 décembre, j’ai échangé avec bon nombre de nos clients, particuliers et professionnels. J’ai bien compris la frustration ressentie par nos clients qui auraient voulu que nous communiquions de manière plus rapide, plus claire et plus exhaustive tout au long de cet événement. Je prends acte de ces critiques et j’en assume l’entière responsabilité. Nous avons beaucoup appris et nous sommes déterminés à mieux communiquer à l’avenir. Les nouvelles d’aujourd’hui sont une manifestation de cette détermination.

Il y a à peine plus d’un an, GoTo et ses investisseurs annonçaient que LastPass deviendrait une société indépendante, dotée d’une nouvelle équipe dirigeante. L’objectif était de libérer tout le potentiel de l’entreprise, afin qu’elle puisse développer la meilleure plate-forme de gestion des mots de passe en entreprise. À la fin du mois d’avril 2022, j’ai été nommé PDG pour diriger cet effort.

Au cours des huit derniers mois, nous avons embauché de nouveaux responsables pour stimuler la croissance de l’entreprise et mettre en œuvre une nouvelle stratégie. Il s’agit de vétérans et de leaders reconnus sur les secteurs de la sécurité et des nouvelles technologies.

Dans le cadre d’une nouvelle phase de croissance de l’entreprise, nous avons alloué plusieurs millions de dollars pour renforcer nos investissements en matière de sécurité, à l’échelle des personnes, des processus et des technologies. Cet investissement renforce notre détermination à faire de LastPass une entreprise de cybersécurité de tout premier plan, et à ce que nous soyons en mesure de nous protéger contre les futures menaces.

Merci pour votre compréhension, vos retours et votre fidélité.

Karim Toubba

PDG, LastPass

Nouvelles informations sur l’incident de sécurité et mesures recommandées

À nos clients LastPass,

Je souhaite vous faire part de nouvelles informations importantes sur l’incident de sécurité que nous avons rendu public le 22 décembre 2022.  Nous avons à présent terminé not[..]

Une fuite de données peut avoir des effets dévastateurs sur une entreprise, en matière de perte de revenus, de perte de clients ou de frais de justice. Une police de cyberassurance permet aux entreprises de <a href="https://blog.lastpass.com/2022/02/why-your-business-should-invest-in-cyber-insurance/" target="_blank" rel="noopener">limiter l’impact financier des cyberincidents</a> comme les fuites de données, en prenant en charge les frais et les pertes.

Si une cyberassurance permet de limiter les dégâts d’une fuite de données, les mesures préventives restent vitales, et elles sont souvent obligatoires pour souscrire une police ou pour obtenir une baisse des primes d’assistance. Pour les entreprises qui cherchent des moyens de se conformer aux polices et de réduire les primes de cyberassurance, LastPass est une solution.
<h3>Les arguments en faveur des cyberassurances</h3>
Vous êtes-vous déjà demandé ce qu’il arrive aux entreprises qui subissent une fuite de données ? L’ampleur des tâches à accomplir en réponse à une fuite de données est difficilement imaginable, sans même parler de la confusion et du stress associés.

Confirmer la fuite, combler les vulnérabilités, notifier les employés, avertir les autorités, faire appel à un conseiller juridique, informer les clients en temps et en heure, répondre aux préoccupations des clients, répondre aux questions de la presse... La liste est longue, et elle mobilise une quantité énorme de personnel, de ressources, et bien entendu, d’argent.

C’est pourquoi une <a href="https://blog.lastpass.com/2022/02/why-your-business-should-invest-in-cyber-insurance/" target="_blank" rel="noopener">cyberassurance est incontournable</a> pour les entreprises qui traitent des informations sensibles sur les clients. Une police de cyberassurance couvre généralement les coûts associés aux cyberattaques, comme les relations publiques et les analyses techniques. Selon l’étude sur <a href="https://www.ibm.com/security/data-breach" target="_blank" rel="noopener">les coûts d’une fuite de données</a> d’IBM Security, « le coût total moyen d’une fuite de données a augmenté de près de 10 % en un an, soit la plus forte augmentation annuelle depuis sept ans. » Les dépenses associées devraient également continuer à augmenter.
<h3>Diminuer les risques pour diminuer les primes de cyberassurance</h3>
Les polices de cyberassurance offrent une couverture financière en cas de cyberattaque, et aident les entreprises à comprendre et à mettre en œuvre les meilleures pratiques du marché. L’une de ces meilleures pratiques consiste à utiliser l’<a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">authentification multifacteur</a> (MFA) pour renforcer la protection des identifiants de connexion de l’entreprise.

83 % des entreprises déclarent ainsi que leur compagnie de cyberassurance exige l’authentification multifacteur ou la gestion des mots de passe pour émettre une police ou pour bénéficier d’une réduction de leur prime, selon une étude récente de LastPass.

La MFA impose des contrôles de sécurité supplémentaires lors du processus de connexion. Généralement, la MFA oblige les utilisateurs à fournir des informations complémentaires  (des « facteurs ») pour confirmer leur identité. En créant des étapes de vérification supplémentaires, toute personne doit prouver qu’elle est bien celle qu’elle prétend être. Les étapes de vérification supplémentaires compliquent considérablement la tâche d’un pirate qui essaierait de pénétrer vos défenses.

Même s’il a dérobé un nom d’utilisateur et un mot de passe valables, le pirate ne pourra pas accéder à un compte si la MFA est activée, car il n’est pas en possession des autres « facteurs ».

En raison du renforcement important de la sécurité fourni par la MFA, sa mise en œuvre aux côtés d’autres mesures de cybersécurité comme un gestionnaire de mots de passe d’entreprise peut vous permettre de diminuer le montant de vos primes de cyberassurance.
<h3>Renforcez la sécurité et faites des économies avec LastPass</h3>
L’attrait de la MFA réside en partie dans la relative simplicité de son déploiement et de son utilisation. Les meilleures solutions de MFA actuelles sont centralisées, évolutives, pratiques, sûres et discrètes. La plupart des employés sont désormais habitués aux codes à usage unique reçus par SMS, ou même aux applications d’authentification, ce qui favorise l’adoption. Avec la généralisation des smartphones, les utilisateurs disposent souvent de tout le nécessaire pour obtenir un accès rapide et transparent tout au long de leurs journées de travail lorsque leur entreprise a déployé la MFA.

Intégrée à LastPass Business, la MFA peut être déployée pour trois applications, avec la possibilité d’acheter le module complémentaire MFA Advanced en cas de besoin. En offrant à la fois la gestion des mots de passe et la MFA, les entreprises peuvent simplifier les accès des employés tout en augmentant le contrôle et la visibilité, le tout grâce à une solution aussi simple à gérer qu’à utiliser.

Découvrez comment votre entreprise peut répondre aux exigences des cyberassurances, et même diminuer leurs primes, en téléchargeant notre infographie <a href="https://www.lastpass.com//-/media/1cfdb8b0040a4bd0abafbb8202018c9d.pdf" target="_blank" rel="noopener"><u>ici</u></a>.

[INFOGRAPHIE] Économisez sur les cyberassurances avec LastPass

Une fuite de données peut avoir des effets dévastateurs sur une entreprise, en matière de perte de revenus, de perte de clients ou de frais de justice. Une police de cyberassurance permet aux entrepri[..]

Si la pandémie a posé des problèmes sans précédent aux organisations, elle a aussi présenté des avantages pour les travailleurs. En travaillant à domicile, ils ont profité d’une flexibilité inédite à laquelle ils ne veulent pas renoncer. Selon une <a href="https://blog.logmeininc.com/forrester-remote-2021/?lang=en" target="_blank" rel="noopener">nouvelle étude de Forrester commandée par GoTo</a>, près de trois quarts des travailleurs déclarent qu’ils souhaitent continuer à télétravailler, et 62 % disent qu’ils sont plus heureux lorsqu’ils télétravaillent.

Les programmes de travail hybride efficaces nécessitent des investissements conséquents, qui ne peuvent pas être mis en œuvre du jour au lendemain. Mais l’effort en vaut la chandelle. Les organisations peuvent réussir à mettre en place des modes de travail flexibles tout en attirant et retenant des talents productifs, satisfaits et diversifiés en s’assurant qu’ils disposent de technologies adaptées et de procédures assurant la conformité.

Examinons donc les raisons pour lesquelles les technologies et la conformité sont essentielles pour s’adapter à l’avenir du travail hybride, ainsi que des mesures que les organisations peuvent prendre pour renforcer leurs capacités dans ces domaines.
<h3><strong>Comment choisir la bonne technologie pour une stratégie du travail hybride</strong></h3>
Comme le confirme l’<a href="https://www.logmein.com/work-from-home-remote-access/forrester-work-from-anywhere-trends" target="_blank" rel="noopener">étude de Forrester</a>, la technologie est un facteur déterminant pour obtenir une expérience de travail hybride positive. Les organisations qui disposent des bonnes technologies pour gérer le télétravail ont bien plus de chances d’avoir des employés satisfaits que celles qui n’en disposent pas. Les organisations peuvent être tentées de réduire les coûts alors qu’elles se remettent de la pandémie et s’adaptent à la nouvelle réalité, mais elles risquent alors de passer à côté du ROI associé à une augmentation de l’implication et de la productivité des employés.

Les données de l’étude de Forrester révèlent que les décisionnaires informatiques trouvent qu’il est plus difficile d’assister les télétravailleurs, mais c’est souvent parce qu’ils n’ont pas mis en œuvre les bonnes technologies pour fournir une expérience positive à ces employés. Une façon pour les organisations de traiter ce problème consiste à solliciter l’avis des employés eux-mêmes. 89 % des employés très satisfaits dans l’étude déclarent que leur entreprise les interroge sur leur expérience des technologies et prend des mesures pour l’améliorer. Les organisations devraient également songer à tenir compte de l’avis des RH au même titre que des équipes informatiques lors de l’évaluation d’investissements technologiques potentiels. 82 % des décisionnaires interrogés déclarent que la façon idéale de prendre des décisions d’achat est de tenir compte à peu près autant de l’avis du SI que des RH. Pourtant, ils ne sont que 51 % à déclarer que leur organisation prend actuellement des décisions de cette façon. Les réponses des employés ont mis en lumière un écart similaire. 84 % des employés très satisfaits déclarent que les dirigeants de leur organisation choisissent des technologies en fonction des besoins des employés au lieu de se rabattre sur l’option la moins chère, contre seulement 61 % des employés insatisfaits.

Lorsqu’il s’agit de la technologie elle-même, les organisations doivent privilégier des technologies de collaboration, car elles sont étroitement liées à la satisfaction au télétravail. <a href="https://blog.lastpass.com/2020/11/when-working-remotely-security-and-collaboration-are-better-together/" target="_blank" rel="noopener">La sécurité et la collaboration fonctionnent mieux ensemble</a>, en offrant aux employés tous les avantages d’un environnement de travail collaboratif tout en limitant les risques de sécurité associés. Les outils de gestion des mots de passe contribuent à cela en automatisant des procédures informatiques essentielles, tout en offrant aux équipes informatiques une visibilité indispensable sur les cybermenaces potentielles. Grâce à des fonctionnalités comme l’authentification unique (SSO), une solution de gestion des mots de passe peut également simplifier les accès des employés et fournir une expérience de télétravail plus productive.
<h3><strong>Comment une conformité stricte favorise le travail hybride</strong></h3>
Une conformité stricte est essentielle pour un travail flexible efficace, mais les organisations ont encore une marge de progression dans ce domaine. Bien que 81 % des décisionnaires déclarent que leur organisation est efficace pour assurer la confidentialité personnelle des employés qui travaillent sur site et à distance, seulement 58 % des employés interrogés sont actuellement satisfaits des mesures prises par leur organisation. En outre, si 76 % des décisionnaires informatiques estiment qu’une solution technologique de télétravail renforcerait la conformité, ils ne sont que 58 % à penser que c’est le cas de leur solution actuelle.

L’une des façons dont les organisations peuvent renforcer leur conformité est de mettre en œuvre des règles de conformité efficaces. Les organisations semblent le comprendre. En effet, 38 % des décisionnaires interrogés déclarent que définir des règles plus claires pour l’année à venir est une priorité. On ne saurait trop insister sur l’importance <a href="https://blog.lastpass.com/2021/03/the-role-of-password-security-in-the-work-from-anywhere-world/" target="_blank" rel="noopener">du rôle de la sécurité des mots de passe</a> à l’ère du travail hybride. Sans la mise en œuvre d’une gestion des mots de passe efficace, les employés, et l’entreprise elle-même peuvent subir des fuites de données. Songez donc à évaluer vos règles de mots de passe lorsque vous évaluez vos mesures de conformité.

Par exemple, de nombreuses organisations exigent que leurs employés définissent un mot de passe fort et unique pour chacun de leurs comptes en ligne, et qu’ils les modifient régulièrement. Par ailleurs, certains employés manifestent toujours de la dissonance cognitive lorsqu’il s’agit d’adopter une bonne hygiène des mots de passe. Selon le rapport <a href="https://www.lastpass.com/resources/psychology-of-passwords-2020" target="_blank" rel="noopener">Psychologie des mots de passe de 2020</a>, 44 % des employés utilisent des mots de passe identiques ou similaires alors qu’ils savent que cela affaiblit leur sécurité personnelle. Un gestionnaire de mots de passe peut créer les conditions de la réussite pour les employés en générant automatiquement un nouveau mot de passe fiable pour chacun de leurs comptes, en le stockant dans un coffre-fort sécurisé en ligne, et en le saisissant à leur place lorsqu’ils se connectent. Il peut également alerter les employés si leurs identifiants sont publiés sur le dark web, leur permettant de réagir rapidement avant qu’un de leurs comptes se fasse pirater.

L’éducation est également un élément essentiel pour assurer la conformité. Bien que les employés soient conscients que les <a href="https://blog.lastpass.com/2021/01/repeat-after-me-7-cybersecurity-mantras-for-2021/" target="_blank" rel="noopener">cyberattaques augmentent</a>, ils peuvent avoir tendance à sous-estimer le risque qu’ils encourent. 41 % des répondants du rapport Psychologie des mots de passe de 2020 pensent que leurs données n’ont pas assez de valeur pour intéresser un pirate, bien que cela ne soit pas le cas. Les employés ne réalisent pas forcément non plus qu’en utilisant des mots de passe faibles ou en partageant des mots de passe avec leurs collègues, ils exposent également leur entreprise à une fuite de données préjudiciable.

Ces idées reçues font courir des risques à toutes les organisations, mais elles peuvent avoir des conséquences juridiques et réputationnelles particulièrement graves pour les entreprises des secteurs très réglementés. En organisant régulièrement des formations de sensibilisation à la sécurité qui expliquent à vos employés l’importance d’une gestion rigoureuse des mots de passe dans un langage simple à comprendre, vous pouvez améliorer la conformité globale de votre organisation.
<h3><strong>Élaborez une stratégie de travail hybride qui favorise la réussite de l’entreprise</strong></h3>
<a href="https://blog.lastpass.com/2020/06/the-future-of-remote-work/" target="_blank" rel="noopener">L’avenir du travail à distance</a> est prometteur, car il offre des avantages certains aux employés comme aux organisations. Comme le remarque l’étude de Forrester, les organisations plus matures qui investissent dans le travail flexible constatent une amélioration de l’implication des employés, une meilleure productivité, une augmentation des revenus et une diminution des coûts. Toutefois, la sécurité des employés et une gestion efficace sont les conditions essentielles pour réussir la transition. Les organisations qui choisissent la bonne technologie et qui adoptent des mesures de conformité strictes seront particulièrement bien placées pour maximiser les bénéfices d’une stratégie de travail hybride.

Découvrez comment LastPass permet une stratégie de travail hybride grâce à un <a href="https://www.lastpass.com/products/enterprise-password-management-and-sso" target="_blank" rel="noopener">accès centralisé et sécurisé</a>.

L’avenir du travail est à distance. Vous êtes prêt pour une stratégie de travail hybride ?

Si la pandémie a posé des problèmes sans précédent aux organisations, elle a aussi présenté des avantages pour les travailleurs. En travaillant à domicile, ils ont profité d’une flexibilité inédite à [..]

Alors que les organisations continuent d’ajuster leur fonctionnement à la pandémie de Covid-19 et les nouvelles tendances de la cybercriminalité, notre dernière enquête globale sur la gestion des identités et des accès révèle que le principal défi des entreprises à l’échelle globale est de trouver le juste équilibre entre la sécurité et l’expérience utilisateur.

Commandé par LastPass, l’enquête d'IDC, <em>Favoriser l’avenir du travail grâce à EPM et aux contrôles des identités et des accès, </em>examinent la capacité des organisations à gérer la situation, et vérifient les connaissances dont les entreprises ont besoin pour gérer les défis de sécurité et les risques de gestion des accès dans les environnements de travail actuels. Grâce aux réponses de 700 professionnels de l’IT et de la sécurité, nous pouvons dévoiler des informations critiques sur la façon dont les entreprises peuvent optimiser l’avenir du travail avec des contrôles relatifs à la gestion des mots de passe entreprise (EPM), des identités et des accès.
<h3><strong>Bilan de la dépendance à l’égard des solutions anciennes </strong></h3>
Notre enquête a révélé que de nombreuses entreprises tablent beaucoup trop sur les solutions anciennes. Malheureusement, ces solutions vieillissantes comportent des bugs de sécurité critiques qui exposent les organisations à des risques de fuites de données, telles que la mauvaise gestion des identifiants. Dans les organisations qui ont subi une violation de sécurité, 83 % indiquent que les cybercriminels se sont servis d’une technique de violation d’identité comme le phishing. Ce résultat montre le besoin évident des organisations d’adopter des solutions de gestion des identités et des accès qui épaulent les utilisateurs finaux et encouragent l’adoption de comportements adéquats en matière de sécurité. Même s’il n’est pas possible de se débarrasser ou de remplacer les solutions anciennes, le service informatique peut désormais gérer les problèmes de sécurité de manière rapide et efficace.
<h3><strong>Utiliser les EPM pour offrir protection et confort </strong></h3>
Les gestionnaires de mots de passe sont un dispositif utile pour les organisations qui souhaitent s’équiper d’une couche supplémentaire de protection et de confort pour l’utilisateur. Déployés dans les organisations de 45 % des répondants, qui couvrait les organisations de 10 à 999 employés, les gestionnaires de mots de passe sont les solutions de gestion des identités et des accès les plus utilisées.
<h3><strong>Abordables et simples ? Les EPM s’adaptent à toutes ces exigences </strong></h3>
Les organisations qui sont à la recherche de solutions abordables d’une moindre complexité permettant d’offrir une sécurité robuste dans un environnement de travail hybride exploitent les solutions de gestion de mots de passe.

Dans l’enquête, 45 % des entreprises disent que même si les solutions d’identité plus complexes comme la SSO et la MFA sont « utiles », elles ne disposent pas des budgets ou ressources pour ces types de solutions. Les EPM répondent aux exigences de sécurité urgentes sans peser sur les départements informatiques.
<h3><strong>Le télétravail porté par les tendances en matière de sécurité </strong></h3>
98 % des répondants indiquent que le télétravail a impacté leur fonctionnement en matière de sécurité. Les raisons principales incluent : sécurité inadéquate sur les réseaux à domicile, télétravailleurs ciblés par les cybercriminels, employés accédant aux données/applications sur des appareils mal protégés et mauvaise hygiène des mots de passe.

Accélérer le développement et le déploiement des applications et des services peut augmenter la sécurité et le confort des employés. Un gestionnaire de mots de passe crée une solution universelle et conviviale qui permet aux employés d’accéder aux outils dont ils ont besoin pour effectuer leur travail correctement.

<a href="https://www.lastpass.com/fr/resources/reports/2022-idc-enabling-future-of-work-with-epm?utm_source=blog&amp;utm_medium=web&amp;utm_campaign=ITBuyer&amp;sfdcid=7014P000001rwmeQAA" target="_blank" rel="noopener">Télécharger</a> l’enquête d'IDC commandé par LastPass pour découvrir comment les entreprises font face à la gestion des mots de passe, au contrôle des identités et des accès, et comment votre organisation peut se préparer à l’avenir de la sécurité dans le monde du travail.

Avenir du travail : trouver le juste équilibre entre les exigences de sécurité et l’expérience utilisateur

Alors que les organisations continuent d’ajuster leur fonctionnement à la pandémie de Covid-19 et les nouvelles tendances de la cybercriminalité, notre dernière enquête globale sur la gestion des iden[..]

Une assurance cybersécurité est conçue pour aider les entreprises à limiter les pertes et les dépenses associées aux cyberincidents tels que les fuites de données. Selon l’étude sur <a href="https://www.ibm.com/security/data-breach" target="_blank" rel="noopener">les coûts d’une fuite de données</a> d’IBM Security, « le coût total moyen d’une fuite de données a augmenté de près de 10 % en un an, soit la plus forte augmentation annuelle depuis sept ans. » Une assurance cybersécurité peut aider les entreprises à atténuer ce coût en cas de cyberattaque réussie.

Ces derniers mois, les fournisseurs d’assurance cybersécurité ont imposé la mise en œuvre de l’authentification multifacteur, parmi les conditions de base pour obtenir une couverture en cas de cyberattaque. Le nombre et la gravité des cyberattaques ayant augmenté au cours de l’année écoulée, les fournisseurs d’assurance cybersécurité estiment qu’ils doivent au moins vérifier que leurs clients prennent au moins des mesures de sécurité de base pour contrer les cyberattaques.

<em>L’authentification multifacteur diminue les risques</em>

L’authentification multifacteur ou MFA a été développée pour ajouter des étapes de vérification au processus de connexion. Avant de pouvoir accéder à quelque chose, l’utilisateur doit fournir des informations complémentaires pour confirmer son identité. En créant des étapes de vérification supplémentaires, votre entreprise peut mieux valider l’identité de quelqu’un, tout en compliquant considérablement la tâche de ceux qui essaieraient de contourner vos défenses.

L’authentification multifacteur protège les comptes avec :
<ul>
 	<li>Quelque chose que vous savez : Un « facteur de connaissance » comme un mot de passe.</li>
 	<li>Quelque chose que vous avez : Un « facteur de possession » comme un téléphone ou une clé de sécurité.</li>
 	<li>Quelque chose que vous êtes : Un « facteur d’inhérence » comme la biométrie.</li>
</ul>
En cas de vol d’un mot de passe, le pirate ne pourra pas accéder au compte sans tous les facteurs exigés.

<em>Répondre aux exigences des assurances cybersécurité avec LastPass</em>

LastPass propose une solution MFA avancée qui sécurise chaque point d’accès à votre entreprise. Qu’il s’agisse d’applications dans le cloud ou anciennes, des VPN ou des postes de travail, LastPass MFA offre un accès sans mot de passe tout en maximisant la sécurité grâce à des règles de sécurité personnalisables et à des technologies d’authentification adaptative.

LastPass Advanced MFA est disponible en complément de notre offre de gestion des mots de passe. En offrant à la fois la gestion des mots de passe et l’authentification multifacteur, les entreprises peuvent diminuer les points de friction pour les employés tout en augmentant le contrôle et la visibilité grâce à une solution aussi simple à gérer qu’à utiliser.

Pour en savoir plus sur notre offre d’authentification multifacteur, cliquez <a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">ici</a>.

Les fournisseurs d’assurance cybersécurité imposent l’authentification multifacteur (MFA)

Une assurance cybersécurité est conçue pour aider les entreprises à limiter les pertes et les dépenses associées aux cyberincidents tels que les fuites de données. Selon l’étude sur <a href="https://w[..]

Les attaques de ransomware ciblant le secteur de la santé ont atteint un niveau record au cours de la dernière année. D’après le <a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-white-report-conti-ransomware-attacks-impact-healthcare-and-first-responder-networks-5-20-21.pdf" target="_blank" rel="noopener">FBI</a>, le groupe de ransomware Conti a mené au moins 16 attaques sur les réseaux de santé et de services d’aide urgente rien qu’aux États-Unis, avec des demandes de rançon s’élevant à 25 millions de dollars dans certains cas.

Un nombre croissant d’<a href="https://www.ouest-france.fr/economie/cyberattaques-pourquoi-les-hopitaux-sont-ils-vises-7156970">hôpitaux français</a> <a href="https://www.franceinter.fr/societe/pourquoi-des-cyberattaques-ciblent-elles-les-hopitaux" target="_blank" rel="noopener">sont devenus victimes d’attaques de ransomware</a> cette année pendant que le COVID frappait. Rien qu’à <a href="https://www.france24.com/en/europe/20210216-cyber-attacks-hit-two-french-hospitals-in-one-week" target="_blank" rel="noopener">Dax et Villefranche-sur-Saône</a>, certains hôpitaux ont été ciblés en l’espace d’une seule semaine. La même semaine, un troisième hôpital en Dordogne a presque été victime d’une action malveillante, mais l’établissement étant au fait de l’attaque survenue à Dax, a immédiatement désactivé ses réseaux.

Voici un aperçu des raisons de la montée des attaques de ransomware dans le secteur de la santé pendant la pandémie, ainsi qu’une liste de conseils du FBI pour protéger vos données les plus sensibles de ces attaques.
<h3><strong>Attaques de ransomware : une menace croissance pour les établissements de santé</strong></h3>
Les organisations et réseaux de santé du monde entier n’ont jamais été aussi vulnérables que pendant la pandémie, étant sous tension ou incapables de faire face à l’énorme pression créée par la crise inédite de santé publique. Des groupes cybercriminels, tels que Conti, se sont rendu compte de leur position de force dans ce contexte et ont lancé des attaques de ransomware pour remporter le gros lot. Malheureusement, les organisations de santé ont eu à payer un prix élevé, aussi bien financièrement que du point de vue de leur capacité à assurer des prestations de santé.

Lors d’une attaque de ransomware, les pirates chiffrent généralement les données et les gardent en otage jusqu’à ce que la victime verse une rançon élevée, le plus souvent en bitcoins pour que le transfert soit plus difficile à suivre. Les activités de l’organisation attaquée sont alors suspendues et son chiffre d’affaires subi une perte importante pendant que ses dirigeants pèsent le pour et le contre des possibles procédures à mettre en œuvre. Cependant, lorsque des groupes comme Conti ciblent les organisations de santé, le bien-être ou la vie même des patients sont mis en danger.

Par exemple, à l’hôpital de Villefranche, les attaques de ransomware ont bloqué les systèmes informatiques, par conséquent les <a href="https://www.nouvelobs.com/societe/20210420.OBS43043/nouvelle-cyberattaque-massive-en-milieu-hospitalier-au-moins-la-sixieme-en-deux-mois.html" target="_blank" rel="noopener">opérations chirurgicales ont été reportées</a> et les patients du service des urgences transférés dans des établissements voisins.

Malheureusement, les établissements de santé sont particulièrement vulnérables face aux attaques, surtout en ce moment. D’abord, les acteurs malveillants les ont pris pour cibles pendant la crise du Covid-19 parce que les organisations de santé sont submergées, moins attentives et par conséquent susceptibles de remettre à plus tard des améliorations critiques en matière de cybersécurité jusqu’à ce qu’elles réussissent à se sortir la tête de l’eau De plus, en comparaison avec d’autres secteurs, ces établissements consacrent une plus petite part de leur budget à la cybersécurité.

Souvent, ils comptent sur <a href="https://www.franceinter.fr/societe/pourquoi-des-cyberattaques-ciblent-elles-les-hopitaux" target="_blank" rel="noopener noreferrer" data-auth="NotApplicable" data-linkindex="3">des systèmes informatiques obsolètes et font face à un déficit de ressources</a> dans leurs départements informatique.

D’autre part, les établissements de santé enregistrent et stockent des données de santé personnelles qui ont beaucoup de valeur sur le dark web.

Tous ces facteurs expliquent pourquoi les groupes de ransomware vont continuer à cibler les organisations de santé, même lorsque la crise ne sera plus qu’un lointain souvenir. Heureusement, en prenant des mesures appropriées dès aujourd’hui, votre établissement de santé peut mettre toutes les chances de son côté pour bloquer les attaques.
<h3><strong>Les meilleures pratiques du FBI pour prévenir une attaque de ransomware</strong></h3>
Les meilleures pratiques du FBI peuvent vous aider à prévenir une attaque de ransomware et simultanément à renforcer votre cybersécurité dans son ensemble :
<ul>
 	<li><strong>Sauvegardez vos données régulièrement</strong>. Si vous sauvegardez régulièrement vos données les plus critiques, vous serez mieux positionné en cas d’attaque de ransomware. Testez vos sauvegardes de manière régulière afin d’être sûrs de pouvoir vous en servir le cas échéant.</li>
 	<li><strong>Protégez vos sauvegardes à l’aide de mots de passe</strong>. Assurez-vous de protéger vos sauvegardes avec un mot de passe. Comme ça, si des pirates trouvent vos sauvegardes, ils auront plus de difficulté à accéder à vos précieuses données stockées.</li>
 	<li><strong>Protégez vos sauvegardes de données à l’aide d’un air gap</strong>. La mise en place d’un air gap, soit un dispositif qui permet d’isoler physiquement vos sauvegardes de données de toutes les autres ressources sur votre réseau, permet de garder vos informations hors de portée dans le cas où des acteurs malveillants souhaiteraient y accéder. Sauvegardez vos données dans un emplacement hors ligne afin de toujours avoir à votre disposition des copies complètes de vos données les plus sensibles.</li>
 	<li><strong>Utilisez des mots de passe forts</strong>. Si l’un de vos mots de passe est faible ou simple à deviner, des acteurs malveillants peuvent obtenir un accès non autorisé à un ou plusieurs de vos comptes en ligne et lancer une attaque de ransomware sur votre organisation. Par conséquent, utilisez des mots de passe forts, et mettez-les à jour régulièrement. Les mots de passe forts doivent être composés d’au moins 16 caractères et inclure une combinaison de lettres majuscules, minuscules, de chiffres et de symboles.</li>
 	<li><strong>Évitez de réutiliser des mots de passe</strong>. La réutilisation de mots de passe peut vous exposer ainsi que votre organisation à une attaque si un de ces mots de passe est piraté lors d’une fuite de données. Témoignage : <a href="https://blog.lastpass.com/2021/03/150000-security-cameras-hacked-because-of-one-password/" target="_blank" rel="noopener">150 000 caméras de sécurité ont été piratées</a> à cause d’un seul mot de passe. Assurez-vous de choisir un mot de passe unique pour chacun de vos comptes.</li>
 	<li><strong>Utilisez l’authentification multifacteur (MFA) si possible</strong>. Si <a href="https://blog.lastpass.com/2021/05/worried-about-ransomware-turn-on-mfa/" target="_blank" rel="noopener">le ransomware vous inquiète</a>, activez la MFA. Elle offre une couche supplémentaire de protection en exigeant un « facteur supplémentaire », soit une autre forme d’authentification, telle qu’une empreinte digitale ou l’utilisation d’un appareil de confiance.</li>
</ul>
<h3><strong>Comment LastPass aide à protéger vos données des cyberattaques</strong></h3>
Vous pouvez aussi utiliser LastPass pour protéger vos données comme suit :
<ul>
 	<li><strong>Stockez tous vos mots de passe de manière sécurisée</strong>. LastPass stocke vos mots de passe dans un coffre-fort chiffré et vous permet d’y accéder depuis partout. Vous pouvez même partager vos mots de passe en toute sécurité avec certains collègues, le cas échéant.</li>
 	<li><strong>Rationalisez l’accès des employés à l’aide de l’authentification unique (SSO)</strong>. Lorsque vous proposez la SSO à vos employés, vous leur offrez l’accès à toutes les applications dont ils ont besoin par le biais d’une fenêtre unique. Ils n’ont plus à se souvenir de chaque nom d’utilisateur ou mot de passe utilisés pendant leur journée de travail.</li>
 	<li><strong>Renforcez la cybersécurité avec la MFA</strong>. Si quelqu’un cherche à se connecter à un système en utilisant vos identifiants, vous recevez un message de notification avec l’option de valider la tentative de connexion ou d’alerter le service sécurité de la survenue d’une activité suspecte sur votre compte.</li>
 	<li><strong>Tirez parti de la surveillance du dark web</strong>. Lorsque vos identifiants de compte apparaissent dans une fuite de données, il faut que vous soyez immédiatement alerté pour pouvoir réinitialiser les mots de passe des comptes concernés. Dans ce cas, la surveillance du dark web vous alerte de manière proactive et en temps réel pour que vous puissiez bloquer toute attaque potentielle avant qu’elle ne se produise.</li>
</ul>
<h3><strong>Protéger les données sensibles des attaques de ransomware</strong></h3>
Dans leur course aux gains, les cybercriminels comme Conti choisissent de plus en plus de cibler les établissements de santé, perturbant dans la foulée les soins critiques des patients et même certaines campagnes de vaccination alors que le monde essaye de s’extraire de la crise de santé globale. Malgré cette tendance préoccupante, votre établissement de santé à la possibilité de sauvegarder ses données sensibles en implémentant des sauvegardes de données renforcées, à l’aide d’une hygiène de mots de passe robuste, de la MFA et en tirant parti de la surveillance du dark web. Votre organisation de santé devient ainsi une cible bien moins tentante, et les groupes de ransomware seront susceptibles d’aller chercher ailleurs des opportunités plus intéressantes.

Découvrez comment l’<a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">authentification multifacteur LastPass</a> permet de mieux protéger votre organisation.

Attaques de ransomware dans le secteur santé : les effets de la pandémie

Les attaques de ransomware ciblant le secteur de la santé ont atteint un niveau record au cours de la dernière année. D’après le <a href="https://www.aha.org/system/files/media/file/2021/05/fbi-tlp-wh[..]

Alors que les attaques par rançongiciel font à nouveau <a href="https://www.nytimes.com/2021/05/09/us/politics/biden-cyberattack-response.html?action=click&amp;module=Top%20Stories&amp;pgtype=Homepage" target="_blank" rel="noopener">la une de l’actualité</a>, de nombreuses entreprises se demandent comment se protéger contre cette cybermenace. Quelle que soit sa taille, une entreprise peut réduire sa surface d’attaque et mieux protéger chacun de ses points d’accès à l’aide d’une stratégie de cyberdéfense à plusieurs couches, bâtie sur une authentification forte. L’authentification multifacteur est essentielle pour diminuer le risque qu’une attaque par rançongiciel réussisse, surtout lorsqu’elle est associée à une bonne gestion de la sécurité des mots de passe.

En cas d’attaque par rançongiciel, la victime télécharge un logiciel malveillant qui chiffre les données sur son ordinateur. Le logiciel malveillant prend ainsi les données en otage tant que la victime ne paie pas une rançon au pirate. Cette méthode d’extorsion a explosé durant la pandémie de COVID-19, avec une <a href="https://cisomag.eccouncil.org/growth-of-ransomware-2020/#:~:text=Based%20on%20the%20analysis%20of,twofold%20and%20amounted%20to%20%24170%2C000.#:~:text=Based%20on%20the%20analysis%20of,twofold%20and%20amounted%20to%20%24170%2C000." target="_blank" rel="noopener">augmentation estimée à 150 % du nombre d’attaques par rançongiciel</a> et une multiplication par plus de deux du montant des rançons exigées en 2020.

Les récentes attaques subies par des entreprises comme <a href="https://blog.lastpass.com/2020/12/security-notification-solarwinds-supply-chain-attack/" target="_blank" rel="noopener">SolarWinds</a> et Colonial Pipeline illustrent l’impact dévastateur que peuvent avoir les rançongiciels, tant sur le plan financier qu’en termes de réputation. SolarWinds affirme que le nettoyage des dégâts entraînés par le piratage a <a href="https://www.reuters.com/technology/solarwinds-says-dealing-with-hack-fallout-cost-least-18-million-2021-04-13/" target="_blank" rel="noopener">coûté plus de <strong>$18 millions</strong></a>. L’attaque contre Colonial Pipeline a quant à elle déclenché une panique et une pénurie d’essence dans toute la région, alors que la société payait <a href="https://www.nbcnews.com/tech/security/colonial-pipeline-paid-ransomware-hackers-5-million-u-s-official-n1267286" target="_blank" rel="noopener">une rançon de $5 millions</a> pour récupérer ses données.

En réponse à ces attaques parmi d’autres, l’administration Biden a récemment publié un décret sur la cybersécurité. Il inclut notamment l’obligation d’utiliser l’authentification multifacteur pour accéder aux réseaux gouvernementaux.
<h3><strong>Pourquoi cet accent sur l’authentification multifacteur ?</strong></h3>
<a href="https://www.lastpass.com/products/multifactor-authentication" target="_blank" rel="noopener">L’authentification multifacteur ou MFA</a> exige des informations complémentaires en plus du nom d’utilisateur et du mot de passe pour accorder un accès. En fournissant deux « facteurs » ou plus, comme une empreinte digitale ou l’utilisation d’un appareil de confiance, l’utilisateur peut mieux garantir qu’il est qui il prétend être. Les meilleures solutions MFA actuelles utilisent également des données contextuelles pour mieux détecter les activités inhabituelles et « adapter » les exigences pour les connexions plus risquées ou suspectes.

La MFA peut ainsi jouer un rôle essentiel pour bloquer ou du moins entraver les attaques par rançongiciel. Ces attaques commencent souvent par un accès illicite au réseau ou à des comptes stratégiques de l’entreprise (comme sa messagerie). Une fois qu’ils sont dans la place, les pirates peuvent déployer le rançongiciel directement sur un poste, ou peuvent inciter plus facilement les employés à cliquer sur des liens malveillants pour télécharger le logiciel.

Exiger la MFA pour accéder au réseau ou se connecter aux comptes de l’entreprise complique considérablement la tâche des pirates. Les tentatives de connexion alerteront les employés et le SI lorsque les demandes d’autorisation MFA commenceront à arriver. En outre, les pirates devront dépenser bien plus de temps et d’énergie s’ils ne disposent pas des informations MFA exigées. Au bout du compte, il leur sera plus rentable de cibler des entreprises plus vulnérables.

Heureusement, la généralisation de l’authentification à deux facteurs par de nombreux services grand public a augmenté la familiarité des employés avec les <a href="https://blog.lastpass.com/2020/03/the-importance-of-mfa-in-a-remote-workforce/" target="_blank" rel="noopener">solutions MFA sur le lieu de travail</a>. Toucher un message d’autorisation, scanner une empreinte digitale ou même saisir un code aléatoire à 6 chiffres, le tout sur le smartphone que les employés ont toujours sur eux, sont autant d’exigences de sécurité désormais courantes. En exploitant des technologies et des comportements que les employés maîtrisent déjà, les solutions comme la MFA ajoutent des couches de sécurité à leurs tâches quotidiennes. Grâce à une expérience d’authentification peu intrusive, les mesures de sécurité renforcées étant reléguées à l’arrière-plan, le SI peut davantage compter sur le respect des règles par les employés et sur une diminution d’ensemble des risques d’attaque par rançongiciel.

La MFA n’est qu’un élément d’une stratégie de cybersécurité efficace, même s’il est essentiel. Pour protéger tous les points d’accès de l’entreprise, vous devez également associer la MFA à une <a href="https://blog.lastpass.com/2021/05/how-a-business-password-manager-protects-your-smb/" target="_blank" rel="noopener">solution de gestion des mots de passe</a>. Appliquer des règles de mots de passe fiables, vérifier que chaque mot de passe est aléatoire et pouvoir surveiller les accès des employés permet au SI de déployer des mesures de sécurité de façon plus stratégique et efficace.

Les types de cyberattaques vont certainement continuer à évoluer. Reste que les entreprises doivent investir dès aujourd’hui pour disposer de solides fondations afin de pouvoir gérer les accès des employés et sécuriser l’authentification au quotidien. Celles qui le feront résisteront mieux à ce que l’avenir nous réserve.

Les « rançongiciels » vous inquiètent ? Activez la MFA.

Alors que les attaques par rançongiciel font à nouveau <a href="https://www.nytimes.com/2021/05/09/us/politics/biden-cyberattack-response.html?action=click&amp;module=Top%20Stories&amp;pgtype=Homepage[..]

Comme nous le démontrons dans notre nouvelle étude, <a href="https://www.lastpass.com/solutions/passwordless-access/from-passwords-to-passwordless">Des mots de passe à l’authentification sans mot de passe</a>, les mots de passe continuent de jouer un rôle essentiel pour l’accès des employés à leur environnement de travail.

Les mots de passe sont une source de risques et de désagréments autant pour le service informatique que pour les employés. Le service informatique passe plus de temps à gérer les mots de passe et les informations de connexion des utilisateurs, tout en reconnaissant que le comportement des employés pose un risque de cybersécurité important pour l’organisation.

Le service informatique comme les employés sont frustrés par les mots de passe pour des raisons différentes. Le service informatique se soucie de la mauvaise hygiène des mots de passe et du temps passé à résoudre les problèmes. De leur côté, les employés n’ont pas envie de se soumettre à des mesures de sécurité laborieuses et chronophages.

<a href="https://www.lastpass.com/solutions/passwordless-access">L’authentification sans mot de passe</a> semble être une bonne solution. Les technologies sans mot de passe comme l’authentification unique, l’identité fédérée, et l’authentification biométrique garantissent l’élimination du recours aux identifiants et mots de passe traditionnels. Pour l’informatique, l’authentification sans mot de passe est synonyme de sécurité, visibilité et contrôle améliorés. Pour les employés, elle garantit commodité et simplicité.
<h3>L’authentification sans mot de passe est-elle la solution recherchée par les entreprises ?</h3>
85 % des professionnels de l’informatique et de la sécurité informatique estiment que les mots de passe ne vont pas complètement disparaître. 85 % pensent qu’il est nécessaire de combiner l’authentification sans mot de passe et la gestion des mots de passe.

Il est démontré que l’authentification sans mot de passe réduit le nombre de mots de passe utilisés. La réduction des mots de passe permet de simplifier l’expérience d’authentification des employés tout en améliorant la sécurité dans l’ensemble de l’organisation.

Cependant, les mots de passe seront toujours utilisés dans un avenir proche, il est donc essentiel qu’une solution de gestion des mots de passe soit utilisée en parallèle d’un modèle d’authentification sans mot de passe. Lorsque les deux technologies sont intégrées, les entreprises peuvent contrôler et éliminer les problèmes liés aux mots de passe.

La plupart des participants (92 %) pensent que leur organisation va probablement proposer une expérience sans mots de passe aux utilisateurs finaux. Le besoin de solutions d’authentification conviviales et sécurisées continue de se développer, surtout lorsque les entreprises se tournent vers un avenir basé sur le télétravail. Avec la mise en place de l’authentification sans mot de passe en parallèle de la gestion de mots de passe, les entreprises peuvent mieux se préparer au télétravail et en profiter.

Lorsque les employés peuvent rapidement et facilement accéder à leur environnement de travail depuis partout, et que le service informatique dispose de la visibilité nécessaire pour assurer la sécurité de l’entreprise, les pertes de temps ainsi que les frustrations sont réduites et l’organisation est dans son ensemble plus productive et sécurisée.
<h3>Allez au-delà de la gestion des mots de passe avec LastPass Premium</h3>
Profitez d’une protection totale de votre univers numérique avec <a href="https://www.lastpass.com/pricing">LastPass Premium</a> pour seulement 3 dollars par mois facturé annuellement, soit 36 dollars pour une année. <a href="https://lastpass.com/create-account.php?premium=1">Démarrez votre essai gratuit de 30 jours dès aujourd’hui !</a>

L’avenir appartient-il aux mots de passe ou à l’authentification sans mot de passe ?

Comme nous le démontrons dans notre nouvelle étude, <a href="https://www.lastpass.com/solutions/passwordless-access/from-passwords-to-passwordless">Des mots de passe à l’authentification sans mot de p[..]

Alors que le coronavirus se répand dans le monde entier et qu’il a des répercussions sur notre santé, nos modes de vie et notre économie, les cybercriminels cherchent à en profiter. Les entreprises du monde entier observent une augmentation des cyberattaques à mesure que l’épidémie prend de l’ampleur. Certaines entreprises signalent <a href="https://www.cnbc.com/2020/03/20/phishing-spam-spike-as-hackers-use-coronavirus-to-hit-remote-work.html">jusqu’à 40 % d’augmentation des tentatives de fishing et autres arnaques par Internet.</a>

Le fishing et les cyber-arnaques se multiplient, car les cybercriminels exploitent les vulnérabilités des environnements de télétravail et l’appétit des employés pour l’information.

Pour bon nombre d’entre nous, notre façon de travailler a déjà changé. Du côté des employeurs, les bureaux sont fermés, et les équipes informatiques sont sollicitées pour déployer une infrastructure permettant aux employés de travailler de manière sécurisée et productive de chez eux. Parallèlement, de nombreux employés télétravaillent pour la première fois, avec moins de protections contre les cyberattaques que dans un environnement d’entreprise normal.

En outre, comme dans d’autres situations de stress et de distraction, les employés baissent la garde car ils cherchent à s’informer. Les gens sont plus susceptibles d’être victimes d’une tentative de fishing si celle-ci exploite leurs centres d’intérêt, surtout en période d’incertitude.

Les cybercriminels ont bien compris ces facteurs et ont lancé des attaques ciblant les entreprises et les particuliers.

Les plus récentes cyberattaques ont tendance à se présenter sous forme d’e-mails contenant des informations de santé. <a href="https://www.wired.com/story/coronavirus-phishing-scams/">Une récente campagne de</a> fishing prenait la forme d’un e-mail promettant des informations pour se protéger contre la propagation du virus. En soulignant l’urgence et en utilisant des termes sensationnalistes, les cybercriminels poussent le destinataire à réagir rapidement. Une fois que le destinataire saisit des identifiants ou télécharge une pièce jointe sur un site malveillant, l’ordinateur ou le réseau est compromis.

Les cybercriminels exploitent également des adresses e-mail ou des domaines connus pour cibler des groupes particuliers pendant cette pandémie. Ils peuvent par exemple créer un e-mail qui semble provenir des RH et qui renvoie les employés sur un site malveillant au lieu de les orienter vers des informations importantes. En outre, en environnement distant, il n’est pas aussi facile pour les employés de valider rapidement la plausibilité d’un e-mail auprès d’un collègue avant de cliquer sur un lien ou de télécharger une pièce jointe.

Afin de protéger votre organisation et de combattre ces campagnes de fishing malveillantes, les employeurs doivent continuer à donner la priorité à la cybersécurité et rester vigilants, y compris durant cette période de transition.

Pour en savoir plus sur comment se protéger en travaillant à distance, lisez nos<a href="https://blog.lastpass.com/fr/2020/04/6-conseils-pour-rester-protege-lorsque-vous-travaillez-de-chez-vous.html/"> 6 conseils pour rester protégé lorsque vous travaillez de chez vous.</a>

Protégez votre organisation contre l’augmentation des tentatives de fishing

Alors que le coronavirus se répand dans le monde entier et qu’il a des répercussions sur notre santé, nos modes de vie et notre économie, les cybercriminels cherchent à en profiter. Les entreprises du[..]

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more details. Thank you.</em></h4>
<h2><strong>Rapport d'incident : 22 mars 2017 (14h30)</strong></h2>
Nous souhaitons continuer à informer notre communauté sur les vulnérabilités récemment rapportées par Tavis Ormandy, un chercheur en sécurité de l'équipe Project Zero de Google.

Ce billet va être long, donc vous pouvez prendre connaissance des points essentiels dans la synthèse, ou plonger dans les détails dans la description exhaustive ci-dessous.
<h2><strong>Synthèse</strong></h2>
<ul>
 	<li>Deux vulnérabilités ont été récemment identifiées par le chercheur en sécurité Tavis Ormandy</li>
 	<li>À ce jour, notre enquête n'a pas révélé la perte ou l'exposition de données utilisateur sensibles</li>
 	<li>Les extensions ont toutes été corrigées et mises à disposition de nos utilisateurs</li>
 	<li>Nos apps mobiles pour Android et iOS ne sont pas affectées</li>
 	<li>Il n'est pas nécessaire de modifier votre mot de passe maître</li>
 	<li>Il n'est pas nécessaire de modifier les mots de passe d'accès aux sites</li>
 	<li>Vérifiez que vous utilisez les dernières versions
<ul>
 	<li>La mise à jour sera automatique pour la plupart des utilisateurs, mais vous pouvez toujours télécharger les dernières versions sur <a href="https://lastpass.com/download">com/download</a></li>
 	<li>Veuillez vérifier votre version dans Icône LastPass &gt; Plus d'options &gt; À propos
<ul>
 	<li>Firefox : 4.1.36</li>
 	<li>Chrome : 4.1.43.82</li>
 	<li>Edge : 4.1.30 (en attente d'approbation par Microsoft)</li>
 	<li>Opera : 4.1.28 (en attente d'approbation par Opera)</li>
</ul>
</li>
</ul>
</li>
</ul>
<h2><strong>Ce qu'il s'est passé</strong></h2>
La semaine dernière, Tavis Ormandy, un chercheur de l'équipe Project Zero de Google, nous a signalé <a href="https://twitter.com/taviso/status/843965519371812864">deux</a> <a href="https://twitter.com/taviso/status/842205051082821632">vulnérabilités</a> affectant plusieurs extensions LastPass pour navigateurs. Les problèmes rapportés affectent tant les utilisateurs grand public que professionnels.

Pour exploiter les vulnérabilités rapportées, un pirate doit d'abord réussir à convaincre l'utilisateur de consulter un site web malveillant. Une fois sur le site, Tavis a montré comment un pirate pouvait faire des appels à l'API LastPass, ou dans certains cas exécuter du code aléatoire, tout en passant pour un tiers de confiance. Le pirate peut ainsi potentiellement récupérer et exposer des informations du compte LastPass, comme les identifiants de connexion de l'utilisateur.
<h2><strong>Bug de détournement de message dans Firefox 3.3.2</strong></h2>
<strong>Ce qui a été rapporté :</strong>
En exploitant notre processus d'analyse d'URL dans la version pour Firefox 3.3.2, un site web malveillant pouvait se faire passer pour un site légitime et inciter le module LastPass à fournir les identifiants d'accès de l'utilisateur.

Ce bug a été <a href="https://blog.lastpass.com/2016/07/lastpass-security-updates.html/">signalé à notre équipe l'année dernière</a> et corrigé à l'époque. Toutefois, ce correctif n'a pas été répercuté vers notre ancienne branche Firefox 3.3.x, dont l'obsolescence est programmée pour avril.

<strong>Ce qu'il faut savoir :</strong>
<ul>
 	<li>Nous avons <a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/">récemment</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> annoncé l'obsolescence</a><a href="https://blog.lastpass.com/2017/03/plans-to-retire-the-lastpass-3-3-2-firefox-add-on.html/"> de la branche 3.x</a> de Firefox avant ce signalement.</li>
 	<li>Nous vous conseillons vivement de faire la mise à jour vers la version Firefox 4.1.36 depuis <a href="https://lastpass.com/download">com/download</a>. Les utilisateurs peuvent également passer à la version Firefox 3.3.4, mais comme indiqué plus haut, la version 3.x de LastPass sera mise à la retraite dans les prochaines semaines.</li>
</ul>
<h2><strong>Bug de connecteur web</strong></h2>
<strong>Ce qui a été rapporté :</strong>
Un <a href="https://twitter.com/taviso/status/843965519371812864">problème</a> dans l'architecture d'inscription des nouveaux utilisateurs a affecté les clients dans lesquels ce code est présent (Chrome, Firefox, Edge). Un site malveillant pouvait tromper LastPass en se faisant passer pour un tiers de confiance, et ainsi voler les identifiants d'accès au site. Les utilisateurs exécutant le composant LastPass binaire (moins de 10 % des utilisateurs LastPass) étaient exposés à une exploitation distante supplémentaire s'ils se rendaient sur un site malveillant.

Ce bug a été détecté en août 2016 lorsque nous avons sorti cette fonctionnalité d'inscription expérimentale pour nos utilisateurs grand public. Toutefois, le code est présent dans tous les clients LastPass pour Chrome, Firefox et Edge.

Dès qu'elle a été informée de la faille, l'équipe LastPass a immédiatement fermé le service vulnérable, puis a entamé le travail de mise à jour de tous les clients concernés.

Pendant que nous corrigions nos clients, Tavis <a href="https://twitter.com/taviso/status/844312124541186048">a tweeté</a> (tweet supprimé depuis) à propos d'un problème supplémentaire. Pour être clair, il s'agissait du même problème sur deux navigateurs différents. Cela a entraîné une certaine confusion sur le nombre de problèmes et l'état des correctifs.

<strong>Ce qu'il faut savoir :</strong>
<ul>
 	<li>Nous avons soumis des mises à jour de tous les clients affectés afin de supprimer intégralement cette vulnérabilité, et les avons rendus disponibles pour tous les utilisateurs.</li>
 	<li>Les versions pour Chrome et Firefox sont disponibles maintenant, tandis que celles pour Edge et Opera sont en attente d'approbation sur leurs boutiques.</li>
 	<li>Dans le cadre de ce processus, nous avons mené une analyse exhaustive de toutes les autres extensions (et de nos programmes d'installation) qui exploitent ce code.</li>
</ul>
<h2><strong>Historique complet (GMT-5) :</strong></h2>
<strong>Bug de détournement de message dans Firefox 3.3.2</strong>
<ul>
 	<li>10 mars : LastPass annonce l'obsolescence des versions Firefox 3.3.x</li>
 	<li>15 mars, 22h45 : Bug de détournement de message dans Firefox 3.3.2 annoncé</li>
 	<li>15 mars, 22h48 : LastPass reçoit les détails du bug Firefox 3.3.2 et lance une investigation</li>
 	<li>17 mars, 8h43 : LastPass envoie un correctif à Mozilla avec Firefox 3.3.4</li>
</ul>
<strong>Bug de connecteur web</strong>
<ul>
 	<li>20 mars, 19h20 : Bug de connecteur web Chrome 4.1.42 annoncé</li>
 	<li>20 mars, 19h36 : Enquête de sécurité transversale lancée par LastPass</li>
 	<li>21 mars, 0h15 : LastPass ferme le service incriminé côté serveur</li>
 	<li>21 mars, 7h04 : LastPass annonce qu'un contournement côté serveur est en place et que l'analyse du code pour résoudre les problèmes côté client est en cours</li>
 	<li>22 mars, 0h10 : LastPass sort la version Firefox 4.1.36 avec correctif</li>
 	<li>22 mars, 12h07 : LastPass sort la version Chrome 4.1.43.82 avec correctif</li>
 	<li>22 mars, 13h55 : LastPass soumet la version Edge 4.1.30</li>
 	<li>22 mars, 14h49 : LastPass sort la version Opera 4.1.28 avec correctif sur <a href="https://lastpass.com/download">com/download</a>; en attente de validation sur le store</li>
</ul>
<h2><strong>Rappels concernant les bonnes pratiques en matière de sécurité personnelle</strong></h2>
Nous savons que les utilisateurs de LastPass s'efforcent de suivre les bonnes pratiques, mais il n'est jamais inutile de rappeler comment protéger votre poste et vos données :
<ul>
 	<li>Soyez attentif aux attaques d'hameçonnage. Ne cliquez pas sur les liens provenant de personnes que vous ne connaissez pas ou qui semblent hors sujet provenant de contacts et sociétés de confiance.</li>
 	<li>Utilisez un mot de passe unique et différent pour chaque compte en ligne.</li>
 	<li>Utilisez un mot de passe maître fort et sécurisé pour votre compte LastPass, et ne le divulguez jamais à personne, y compris à nous-mêmes.</li>
 	<li>Activez l'authentification à deux facteurs pour LastPass et d'autres services tels que votre banque, votre compte de messagerie, Twitter, Facebook, etc.</li>
 	<li>Maintenez votre ordinateur en bon état en utilisant un antivirus et en mettant à jour vos logiciels.</li>
</ul>
<h2><strong>Suite des événements</strong></h2>
Pour empêcher que ces problèmes se reproduisent, nous sommes en train de revoir et de renforcer nos processus d'analyse de code et de sécurité, surtout lorsqu'il s'agit de fonctionnalités nouvelles et expérimentales.

Il va sans dire que la sécurité est au cœur de nos préoccupations. Et nous visions la transparence dans nos réactions à ces problèmes. Nous accordons beaucoup de valeur au travail effectué par Tavis, Project Zero et les autres chercheurs et hackers éthiques. Nous profitons tous de ce modèle de sécurité lorsqu'il permet de divulguer des bugs de façon responsable, et nous sommes confiants qu'à la suite de ces événements, LastPass n'en sortira que plus fort. Nous invitons tous les chercheurs à contribuer à notre programme de récompense bug bounty sur <a href="https://bugcrowd.com/lastpass">https://bugcrowd.com/lastpass</a>.

———-

<strong>22 mars 2017 (11h12)</strong>

Durant la semaine écoulée, nous avons travaillé avec le chercheur en sécurité Tavis Ormandy de Google pour analyser et corriger les vulnérabilités signalées. Nous sommes désolés d'avoir tardé à réagir, mais nous menions une enquête approfondie afin de pouvoir vous fournir autant de détails que possible. Bien que nous ferons bientôt un bilan post-mortem, nous voulions fournir un résumé à notre communauté.

<strong>Ce qu'il s'est passé</strong>
Durant la nuit du 20 mars, nous avons reçu un rapport concernant un problème lié à la version 4.1.42.80 de notre extension Chrome. Nous avons immédiatement enquêté, puis nous avons publié un contournement côté serveur quelques heures plus tard. La faille concernait tous les clients LastPass – Chrome, Firefox, Edge – dans lesquels une fonction expérimentale d'inscription des nouveaux utilisateurs était utilisée.

Plus tard, le 21 mars, un autre rapport est arrivé concernant la version 4.1.35a pour Firefox. Il s'agissait en fait essentiellement de la même vulnérabilité que celle du jour précédent, mais qui affectait le module externe 4.x pour Firefox. Bien que le problème aurait été réglé par la version corrigée qui devait suivre notre contournement, ce rapport a été reçu avant que nous puissions la sortir. Nous avons sorti une mise à jour, la version Firefox 4.1.36a, à environ 12h15 GMT-5 aujourd’hui pour répondre spécifiquement à ce signalement.

Les correctifs sont en cours d'envoi à tous les utilisateurs, et la mise à jour devrait être automatique pour la majorité d'entre eux.

Nous n'avons aucune indication que ces vulnérabilités aient été exploitées dans la nature, mais nous menons une enquête approfondie pour nous en assurer. Nous publierons bientôt un compte-rendu plus détaillé des événements, ainsi que tout ce que notre communauté doit savoir. Pour l'heure, aucun changement de mot de passe par nos utilisateurs n'est nécessaire.

&nbsp;

</div>

Mises à jour de sécurité importantes pour nos utilisateurs

<div>
<h4 data-usually-unique-id="992734018312391">Update March 25, 2017 (5:00pm): <em>Our team is currently investigating a new report by Tavis Ormandy and will update our community when we have more[..]

Les « Cloudfuites » vous inquiètent ? Le Challenge de sécurité LastPass identifie désormais les principaux sites web (sites affectés présents dans le top 10 000 du classement Alexa) potentiellement impactés par le récent bug de sécurité de Cloudflare. En signalant les sites web impactés, LastPass vous aide à gérer la priorité de mise à jour de vos mots de passe. Il vous suffit de lancer le Challenge de sécurité depuis le volet de gauche de votre coffre-fort LastPass, ou de le lancer maintenant pour sécuriser dès à présent vos mots de passe :
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a>  </span></p>
<strong>Qu'est-il arrivé à Cloudflare ?</strong>

Cloudflare, un service qui optimise la sécurité et les performances de plus de 5,5 millions de sites web, <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">a averti ses clients la semaine dernière</a> qu'un bug avait potentiellement exposé des informations utilisateur sensibles. Les données concernées sont les mots de passe, les cookies et les jetons d'authentification des utilisateurs. <a href="https://blog.cloudflare.com/incident-report-on-memory-leak-caused-by-cloudflare-parser-bug/">Consultez leur billet de blog</a> pour en savoir plus.

<strong>Faut-il s'inquiéter ?</strong>

<span >La portée du bug est énorme, étant donné le nombre de sites pris en charge par Cloudflare, dont des sites majeurs comme Medium, Namecheap et Change.org. Toutefois, Cloudflare a déclaré que l'impact réel du bug en lui-même est relativement mineur, de sorte que le risque pour tout élément de données particulier est assez faible. Bien que le bug soit corrigé, les données fuitaient depuis Septembre 2016. Et puisque certaines données ont été mises en cache par les moteurs de recherche durant ce laps de temps, des informations sensibles sont encore potentiellement exposées.</span>

Impossible de savoir avec certitude si <em>vos</em> données particulières ont été exposées ou non. Notre communauté sensible à la sécurité sera donc bien inspirée de pécher par excès de prudence. La meilleure ligne de conduite est de saisir l'occasion pour changer tous les mots de passe ayant été signalés comme étant potentiellement vulnérables.

<b>LastPass </b><strong>simplifie les changements de mots de passe</strong>

Le Challenge de sécurité LastPass identifie désormais les principaux sites web (sites affectés dans le top 10 000 du classement Alexa) potentiellement impactés par la fuite baptisée « Cloudbleed ». Si vous utilisez l'authentification à deux facteurs sur les sites affectés, nous vous conseillons de la révoquer puis de la réactiver.

Le Challenge de sécurité signale les identifiants faibles, réutilisés, anciens et potentiellement vulnérables dans votre coffre-fort. Si des sites de votre coffre-fort sont inclus dans la liste des principaux sites affectés par le bug de Cloudflare, ils seront désormais signalés eux aussi.

<span >LastPass simplifie le processus de modification de mot de passe en vous aidant à générer instantanément un mot de passe neuf, long et aléatoire. Il enregistre ensuite le mot de passe dans votre coffre-fort, puis le saisit lors de votre connexion suivante. Si vous avez partagé certains mots de passe que vous devez modifier, LastPass synchronise automatiquement la modification en coulisse, afin que les autres disposent également du dernier mot de passe.

LastPass peut même modifier de nombreux mots de passe à votre place avec la fonction de Changement automatique de mot de passe. En un clic, LastPass peut automatiquement mettre à jour votre mot de passe pour une centaine de sites. L'option de changement automatique est peut-être disponible pour certains sites affectés par le bug Cloudflare, alors n'hésitez pas à profiter de cette fonctionnalité.</span>
<p ><span ><a href="https://lastpass.com/challenge" target="_blank"><button>Launch the Security Challenge</button></a> </span></p>

Alertes pour les sites Cloudflare dans le Challenge de sécurité LastPass

Les « Cloudfuites » vous inquiètent ? Le Challenge de sécurité LastPass identifie désormais les principaux sites web (sites affectés présents dans le top 10 000 du classement Alexa) potentiellement im[..]

En matière de sécurité, le changement est la seule constante. Alors que les technologies évoluent, nous nous efforçons de garder une longueur d'avance et de sécuriser vos informations. Deux récentes révélations peuvent potentiellement inquiéter notre communauté, et nous sommes donc là pour répondre à vos questions et vous informer sur ce que vous devez savoir en tant qu'utilisateurs de LastPass.

<b>Cloudflare</b>

<b><strong>Synthèse : LastPass n'utilise pas Cloudflare et n'est pas affecté par </strong><strong><a href="https://arstechnica.com/security/2017/02/serious-cloudflare-bug-exposed-a-potpourri-of-secret-customer-data/">l'incident de sécurité récent</a>.</strong></b>

Ce qu'il s'est passé : Cloudflare est une société de logiciel-service qui aide à optimiser la sécurité et les performances des sites web. Le jeudi 23 février, la société a informé ses clients qu'elle avait récemment corrigé une vulnérabilité (révélée par le chercheur Tavis Ormandy de Google). Bien que cette vulnérabilité ait pu exposer tout un éventail d'informations sensibles, nous pouvons confirmer que LastPass n'utilise pas Cloudflare et n'est pas affecté.

Cependant, les utilisateurs de LastPass ont potentiellement des comptes sur des sites <em>qui utilisent</em> Cloudflare. Par conséquent, si vous utilisez des services qui ont révélé avoir été touchés, nous vous conseillons de mettre à jour votre mot de passe. Bien que le risque associé à ces comptes est faible, mieux vaut être prudent.

<strong>Attaque par collision SHA-1</strong>

<strong>Synthèse : Les utilisateurs de LastPass peuvent se sentir rassurés sachant que notre hachage et notre site sont sûrs. Pour la création des hachages de mots de passe, LastPass utilise un hachage itératif avec un composant SHA-256 ou supérieur. Les certificats HTTPS utilisent SHA-256 ou supérieur pour l'empreinte.</strong> <strong>Comme le remarque l'équipe de sécurité de Google, SHA-256 est une fonction de hachage cryptographique plus sûre.</strong>

Ce qu'il s'est passé : L'équipe de sécurité de Google <a href="https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html?m=1">a récemment révélé</a> la première attaque concrète contre SHA-1. SHA-1 (Secure Hash Algorithm 1) est une fonction de hachage qui date de 1995. Le hachage est tout simplement une fonction unidirectionnelle (qui ne peut pas être inversée par rétro-ingénierie) qui sert à masquer et stocker des données. Il va plus loin que le simple chiffrement de données. SHA-1 est utilisé à grande échelle pour sécuriser les logiciels, afin d'éviter la falsification de mises à jour logicielles, et d'assurer la sécurité des connexions entre les sites web et leurs utilisateurs. Toutefois, la vulnérabilité théorique de SHA-1 est connue depuis au moins 2005, et cela fait quelques années que Google appelle les développeurs à basculer vers d'autres algorithmes.

Le nouveau rapport sorti le jeudi 23 février décrit la manière dont des chercheurs en sécurité ont mené la première attaque concrète par collision contre la fonction de hachage SHA-1. En effet, deux fichiers totalement différents (ici, des fichiers PDF) ont été utilisés pour produire la même signature SHA-1. Ce n'est pas censé être possible, puisque chaque fichier est censé produire sa propre signature SHA-1, empêchant qu'un fichier « contrefait » puisse se faire passer pour un fichier de confiance.

Comme nous l'indiquions plus haut, LastPass génère des hachages d'authentification avec PBKDF2 qui utilise SHA-256 au lieu de SHA-1. Les connexions à notre site web LastPass.com sont également sûres, puisque notre certificat HTTPS utilise également SHA-256 au lieu de SHA-1.

Par souci d'exhaustivité, nous supprimons l'utilisation de SHA-1 dans d'autres aspects du produit, comme la signature des fichiers binaires. Le risque à ce niveau est très faible, mais nous allons accélérer nos efforts de suppression de SHA-1 à la lumière de ce rapport de collision.

Comme toujours, nous informerons notre communauté en cas de nouveaux développements.

Merci,

L'équipe LastPass

Deux bulletins de sécurité : attaque par collision SHA-1 et incident Cloudflare

En matière de sécurité, le changement est la seule constante. Alors que les technologies évoluent, nous nous efforçons de garder une longueur d'avance et de sécuriser vos informations. Deux récentes r[..]

Blog

Blog

Actualité

Actualités sectorielles

LastPass pour les administrateurs

LastPass Labs

Mises à jour des produits

Conseils et astuces

Actualité de la sécurité