LastPass: violation de données de 2026 via la chaîne d’approvisionnement de Klue

Klue était une plateforme tierce utilisée par les équipes de commercialisation de LastPass et intégrée à Salesforce et à Gong. Selon LastPass, un acteur non autorisé a obtenu des jetons OAuth que Klue détenait pour de nombreux clients. Cet acteur a utilisé les identifiants de LastPass pour accéder à son environnement Salesforce. Le point de départ a été l’utilisation abusive d’une identité associée à une intégration de confiance, et non une intrusion initiale dans l’infrastructure du produit de gestion des mots de passe de LastPass.

Un jeton OAuth n’est pas nécessairement un mot de passe : c’est un identifiant qui permet à une application intégrée d’accéder à une API ou à un service dans les limites des autorisations préalablement accordées. Son vol peut permettre à un acteur d’agir dans ce périmètre autorisé. LastPass n’a pas précisé l’ensemble des objets Salesforce, des dossiers d’assistance ou des enregistrements liés aux ventes qui ont été ouverts, la date du premier accès non autorisé ni la quantité de données copiées.

Le communiqué officiel décrit ces informations comme des données classiques de contacts professionnels et de gestion de la relation client. Les champs énumérés sont les noms des clients, leurs numéros de téléphone, leurs adresses e-mail et postales, ainsi que les données des dossiers d’assistance et les données liées aux ventes. LastPass n’a pas indiqué que tous ces champs étaient présents pour chaque client ni que tous les dossiers d’assistance avaient été consultés.

Le contenu des dossiers d’assistance peut varier, et l’entreprise n’a pas confirmé séparément l’accès au corps des messages, aux pièces jointes, aux journaux techniques ou à d’autres champs précis. Les mots de passe, les mots de passe maîtres, le contenu des coffres-forts, les données de paiement et les documents d’identité ne sont donc pas inclus au seul motif qu’ils pourraient théoriquement figurer dans un dossier d’assistance sans rapport avec l’incident. La taille de la clientèle, le nombre total de dossiers d’assistance et le nombre global d’utilisateurs de LastPass ne peuvent pas tenir lieu de décompte des personnes ou des enregistrements concernés par cette violation.

LastPass a déclaré que le périmètre se limitait aux systèmes intégrés à Klue et que ses produits, ses services et son infrastructure n’avaient été touchés en aucune manière. Les coffres-forts de mots de passe des clients sont restés sécurisés. Ce constat ne remet pas en cause l’accès confirmé aux informations clients dans Salesforce; il situe l’incident en dehors de l’environnement central du gestionnaire de mots de passe et du contenu chiffré des coffres-forts.

L’enquête n’a trouvé aucun élément indiquant que l’acteur avait accédé à des données liées à Gong. Cette distinction est importante, car Gong peut contenir des appels avec des clients et le contenu d’e-mails. L’absence d’éléments probants est la conclusion publiée de l’enquête : l’accès aux données Gong ne doit donc pas être présenté comme confirmé. Aucun élément n’a été présenté indiquant que les mots de passe maîtres LastPass, les mots de passe de sites enregistrés ou les clés de déchiffrement avaient été obtenus.

LastPass a supprimé l’accès à Klue pour l’ensemble de ses employés, renouvelé les jetons API et OAuth exposés et lancé une enquête approfondie avec ses interlocuteurs chez Klue et Salesforce. L’entreprise a informé les forces de l’ordre et a déclaré coopérer avec elles. La mesure corrective directe consistant à renouveler les jetons a été menée à bien, tandis que les travaux se poursuivaient sur des protections supplémentaires et des protocoles renforcés pour se prémunir contre des incidents similaires impliquant des tiers.

L’équipe de renseignement sur les menaces de l’entreprise a déclaré partager les tactiques, techniques et procédures avec la communauté de la sécurité au sens large afin de perturber la campagne et de soutenir les équipes de défense. LastPass a également publié quatre adresses IP et trois domaines d’expéditeurs à titre d’indicateurs. Ces indicateurs peuvent évoluer avec le temps et ne suffisent pas, à eux seuls, à prouver que chaque message est malveillant ou sûr.

Les noms, numéros de téléphone, adresses e-mail et postales, ainsi que le contexte des dossiers d’assistance, peuvent servir à élaborer des messages très convaincants usurpant l’identité de l’assistance LastPass. Un acteur pourrait citer un véritable dossier ou une relation commerciale existante et demander un mot de passe maître, un code d’authentification multifacteur ou une connexion sur une fausse page. LastPass a souligné qu’aucun membre de l’entreprise ne demandera de mot de passe maître et que les clients doivent se fier uniquement aux canaux d’assistance officiels.

Vous pouvez vérifier les appels et e-mails inattendus, ainsi que les demandes d’informations sensibles, auprès d’un canal d’assistance LastPass connu, plutôt qu’en utilisant un lien ou un numéro figurant dans le message. Le constat selon lequel les coffres-forts n’ont pas été touchés n’impose pas automatiquement de changer tous les mots de passe qui y sont enregistrés. En revanche, si vous avez saisi des informations sur une page suspecte, il convient de modifier votre mot de passe maître et les identifiants des comptes concernés dans l’application officielle.

Il ne s’agit pas d’une compromission directe de l’infrastructure centrale du gestionnaire de mots de passe de LastPass, mais d’un accès aux données clients dans Salesforce au moyen de jetons d’intégration dérobés à Klue. L’entreprise n’a publié aucun total vérifiable de personnes ou d’enregistrements concernés. L’absence de décompte public ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable.

Les faits vérifiés sont les suivants : des jetons OAuth détenus par Klue ont été obtenus; des noms, numéros de téléphone, adresses e-mail et postales, dossiers d’assistance et données de vente ont été consultés dans Salesforce; les jetons ont été renouvelés et l’accès à Klue a été supprimé. Les produits, l’infrastructure et les coffres-forts de mots de passe de LastPass n’ont pas été touchés, et aucun élément n’a montré d’accès à Gong. Les dates et heures exactes des accès, le nombre de personnes concernées, le volume d’enregistrements et le contenu de chaque dossier n’ont pas été divulgués.