L’autorité britannique de protection des données (ICO) a aujourd’hui publié une décision de sanction à l’encontre de LastPass UK Ltd, comprenant le prononcé d’une amende de 1 200 000 £ (environ 1 400 000 €) pour des manquements liés à une faille de sécurité ayant affecté jusqu’à 1,6 million d’utilisateurs au Royaume-Uni.

Cette affaire débute par une enquête suite à une violation de données survenue en 2022, au cours de laquelle un pirate a réussi à accéder à des informations personnelles de clients via une combinaison de deux incidents distincts.

L’enquête menée par l’autorité a permis de constater :
* Obligation de confidentialité et de sécurité des données (équivalent de l'article 5 et de l'article 32 du RGPD) : LastPass n’a pas mis en œuvre des mesures techniques et organisationnelles suffisamment robustes pour protéger ses systèmes. Un pirate a d’abord compromis l’ordinateur professionnel d’un employé en Europe, accédant à l’environnement de développement et à des identifiants chiffrés. Ensuite, le pirate a ciblé un employé senior aux États-Unis via une vulnérabilité d’un service tiers, installant un logiciel espion pour capturer le mot de passe principal et contourner l’authentification multifactorielle. Cette double compromission a permis d’accéder à la base de données de sauvegarde contenant des données personnelles (noms, emails, numéros de téléphone, URL de sites web) de 1,6 millions d’utilisateurs.

En conséquence, la structure s’est vue sanctionner de l’amende mentionnée ci-dessus.
En outre, l’autorité a ordonné à LastPass de renforcer ses mesures de sécurité internes et de revoir ses politiques d’accès afin de limiter les risques de futures attaques similaires.