Gestionnaire de mot de passe Dashlane : des comptes utilisateurs piratés, ce qu’il faut savoir

Dashlane annonce avoir mis fin à une cyberattaque ciblant les utilisateurs du gestionnaire de mots de passe. Qu’est-ce que ça implique pour vous si vous en faites partie ? On vous explique.

Si vous nous lisez régulièrement, vous savez que nous recommandons l’usage d’un gestionnaire de mots de passe. Ce coffre-fort numérique protège l’ensemble de vos identifiants, ce qui permet par exemple d’utiliser un sésame différent et complexe pour chaque service en ligne sans avoir à s’en souvenir. Seul obligation : retenir le mot de passe maître, celui qui ouvre le coffre. La grande majorité des gestionnaires ont aussi le bon goût de proposer la conservation d’autres données comme des documents ou vos cartes bancaire pour les paiements en ligne.

Mais aussi sécurisé qu’ils soient, les gestionnaires de mots de passe aussi peuvent être piratés. Parfois, les cybercriminels s’attaquent à l’entreprise qui développe le programme. Et parfois, les utilisateurs sont visés directement. C’est ce qu’il s’est passé avec ceux de Dahslane. La méthode utilisée est assez basique puisqu’il s’agit de la force brute, donc l’essai de toutes les combinaisons possibles jusqu’à trouver la bonne. La cible : le code unique à 6 chiffres envoyé par Dashlane pour valider l’installation du service sur un nouvel appareil.

Des coffres-forts de mots de passe Dashlane entre les mains de hackers

En résumé, les cybercriminels ont envoyé de très nombreuses demandes d’ajout de Dahslane sur de nouveaux appareils (les leurs) à partir d’adresses mail légitimes d’utilisateurs. Ils ont ensuite testé des combinaisons de codes à 6 chiffres pour valider l’opération. Le service indique que 20 personnes ont été impactées au final, avant l’arrêt de l’attaque par les équipes. Les infrastructures internes de Dashlane n’ont pas été touchées.

Lors de l’attaque, plusieurs personnes ont vu leur compte suspendu pour les protéger. Ils sont désormais tous débloqués. Les pirates ont pu télécharger les coffres-forts des 20 utilisateurs mentionnés plus haut. Ils sont toujours chiffrés, donc inaccessibles sans le mot de passe maître. Dashlane a contacté directement les victimes afin de les informer et leur indiquer la marche à suivre. Si vous n’avez pas reçu de mail de leur part, vous n’avez rien à craindre.