LastPass s'est fait voler deux fois. Et le produit, c'était votre coffre.

Le 22 décembre 2022 — trois jours avant Noël, saison idéale pour enterrer une mauvaise nouvelle — LastPass a fait le point sur un incident de sécurité révélé pour la première fois en août. La version d'août était rassurante. Quelqu'un s'était introduit dans l'environnement de développement de l'entreprise et avait emporté du code source et des informations techniques. Aucune donnée client touchée, disait l'entreprise. Aucun coffre.

La version de décembre avait un autre ton. Les intrus, semble-t-il, s'étaient servis de ce qu'ils avaient appris en août pour revenir — et cette fois, ils avaient copié les sauvegardes des coffres des clients. Pas une liste d'adresses. Pas une base de facturation. Les coffres : le seul produit dont la raison d'être était de ne jamais tomber entre d'autres mains.

La première intrusion n'était que la reconnaissance

En août 2022, un attaquant a mis la main sur les identifiants d'un développeur et a passé plusieurs jours dans l'environnement de développement de LastPass, dérobant des portions du code source et des informations techniques confidentielles. LastPass a fait appel à des enquêteurs extérieurs, contenu l'intrusion et assuré à ses clients que ni leurs données ni leurs coffres n'avaient été consultés. Pour autant qu'on puisse en juger, c'était vrai — et à côté du sujet.

Armé des informations techniques de ce premier incident, l'attaquant a visé un autre employé, obtenu ses identifiants et accédé à un service de stockage cloud tiers où LastPass conservait ses sauvegardes. De là, des copies des informations de compte des clients et des sauvegardes de coffres ont été emportées. L'intrusion d'août n'a jamais été l'événement principal. C'était la reconnaissance. Décembre, c'était le coup lui-même.

C'est un schéma que nous avons vu assez souvent pour lui donner un nom, avec le recul : le premier incident est rarement la catastrophe. C'est le relevé de plan pour le second.

Ils ont chiffré le contenu. Ils ont laissé le sommaire en clair.

Soyons justes envers la cryptographie : les champs sensibles à l'intérieur d'un coffre LastPass — identifiants, mots de passe, notes sécurisées, données de formulaires — étaient chiffrés en AES 256 bits, avec des clés dérivées du mot de passe maître de chaque utilisateur. LastPass ne pouvait pas les lire. Cette partie de la conception était saine, et selon les informations publiques, le chiffrement lui-même n'a pas été cassé.

Mais les sauvegardes des coffres contenaient aussi des données qui n'avaient jamais été chiffrées du tout. Les adresses des sites attachées à chaque identifiant enregistré figuraient en clair, aux côtés des noms, adresses e-mail, adresses de facturation, numéros de téléphone des clients, et des adresses IP depuis lesquelles ils se connectaient.

Voyez ce que cela signifie. Les attaquants ont reçu deux choses : les boîtes verrouillées, et — séparément, en clair — l'inventaire complet de ce qui était verrouillé et à qui cela appartenait. Les adresses contenues dans un coffre dessinent la carte d'une vie. La banque. Le fournisseur de messagerie. Le courtier et la plateforme de cryptomonnaies. Les systèmes de l'employeur, le portail patient de la clinique, les comptes dont on préfère ne pas parler. Pas besoin d'ouvrir un seul coffre pour que cette carte ait de la valeur. Elle dit à un escroc exactement quelles institutions sa cible utilise et à quoi un faux e-mail convaincant doit ressembler. LastPass a d'ailleurs prévenu ses clients de s'attendre précisément à ce genre d'hameçonnage.

Ils ont chiffré le journal intime. Ils ont publié le sommaire.

Un seul mot de passe, et tout le temps du monde

Pour le contenu chiffré, tout repose sur le mot de passe maître — c'est le principe. Ce que décembre a changé, c'est l'endroit où se font les tentatives. Une sauvegarde volée devient un problème hors ligne. La copie repose sur le matériel de l'attaquant. Aucune page de connexion ne compte les échecs, aucun blocage après dix essais, aucune alerte dans la boîte de personne. Chaque tentative est gratuite, silencieuse et sans hâte — pour toujours.

Un mot de passe maître long et unique, sur un compte à jour, fait d'un coffre une cible réellement difficile ; les mathématiques tiennent. Un mot de passe court, familier ou réutilisé, c'est une autre histoire — cela devient une question de puissance de calcul et de patience. Et les réglages variaient énormément d'un compte à l'autre : les comptes anciens avaient souvent des paramètres de dérivation de clé bien plus faibles que les recommandations ultérieures de l'entreprise elle-même, ce qui signifie que deux clients avec le même mot de passe pouvaient avoir des niveaux de protection très différents, sans aucun moyen de le savoir.

La sécurité de toute l'archive tenait donc à des choses qu'aucun client ne pouvait inspecter : la solidité d'une phrase mémorisée, et la rigueur opérationnelle d'une entreprise dont l'environnement de développement avait déjà été pénétré une fois cette année-là. C'est beaucoup de poids sur un seul point. Et c'est aux points uniques que les systèmes cassent.

Ce qui dépend vraiment de vous

Les lettres de Sénèque reviennent, encore et encore, à une distinction simple : certaines choses dépendent de nous, d'autres non, et l'esprit apaisé naît de savoir lesquelles. Vous ne pouvez pas gouverner l'environnement de développement d'un fournisseur. Vous ne pouvez pas contrôler ses employés, auditer ses prestataires de stockage, ni déplacer ses annonces de décembre. Si vos documents les plus sensibles vivent dans le produit de quelqu'un d'autre, une partie de leur sécurité dépend de la compétence d'inconnus — des gens que vous ne rencontrerez jamais, qui travaillent sur des systèmes que vous ne verrez jamais.

Ce que vous pouvez gouverner, c'est la décision en dessous : ce qui vit où. Un gestionnaire de mots de passe est un outil raisonnable pour les accès du quotidien, et l'essentiel du quotidien peut tolérer ce risque. Mais l'archive sous les accès — les journaux, les photographies, les documents que vous ne confieriez à personne — n'a pas à être une fonctionnalité de la plateforme de quelqu'un d'autre, répliquée dans ses sauvegardes, en attente de son mauvais décembre.

Un disque que vous avez chiffré vous-même n'a aucune copie dans le cloud d'un fournisseur et aucun sommaire en clair. Il a un lieu, un scellé, et une clé qui n'existe que dans votre tête. Nous avons appris que c'est cela que les gens entendent vraiment par sécurisé : non pas une promesse plus forte d'une entreprise plus grande, mais moins d'inconnus entre eux et les choses qu'ils ne peuvent pas remplacer.

Everkeep assure la garde hors ligne de disques chiffrés que vous possédez et chiffrez vous-même. Nous les numérotons, les scellons, les photographions et les stockons — deux copies, deux lieux — sans jamais voir ce qu'ils contiennent. 199 $/an par emplacement.