LastPass avertit qu’une fausse copie de son application est distribuée sur l’App Store d’Apple, probablement utilisée comme application de phishing pour voler les informations d’identification des utilisateurs.
La fausse application utilise un nom similaire à l’application authentique, une icône similaire et une interface sur le thème du rouge conçue pour ressembler au design authentique de la marque.
Cependant, le nom de la fausse application est « Lastpass », au lieu de « LastPass », et elle a un éditeur de « Parvati Patel ».’
De plus, il n’y a qu’une seule note (la vraie application en compte plus de 52 000), avec seulement quatre critiques qui avertissent qu’il s’agit d’un faux.
Comme LastPass est utilisé pour stocker des informations très sensibles, telles que des secrets d’authentification et des informations d’identification (nom d’utilisateur/e-mail et mot de passe), l’application a probablement été créée pour agir comme une application de phishing et voler des informations d’identification.
Breachtrace n’a pas testé l’application, nous ne connaissons donc pas son fonctionnement interne, son processus de phishing potentiel ou tout autre détail sur ses fonctionnalités.
Le vrai LastPass a mis en garde contre l’existence de l’application clone via une alerte sur son site Web pour attirer l’attention des clients sur le risque de perte de données.
« Nous avons inclus l’URL de l’application frauduleuse ainsi que le lien vers notre application légitime afin que les clients puissent vérifier qu’ils téléchargent la bonne application LastPass pour eux-mêmes jusqu’à ce que l’application frauduleuse soit supprimée », indique l’alerte de LastPass.
« Rassurez-vous, LastPass travaille activement à faire retirer cette application dès que possible et continuera à surveiller les clones frauduleux de nos applications et/ou les violations de notre propriété intellectuelle. »
L’inclusion d’une application aussi manifestement frauduleuse sur l’App Store d’Apple est un cas très rare, grâce au processus rigoureux d’examen des applications de l’entreprise, qui garantit que les logiciels de l’App Store répondent à des normes élevées en matière de confidentialité, de sécurité et de contenu.
Ce processus comprend des vérifications automatisées et un examen manuel par l’équipe d’Apple pour garantir le respect d’un ensemble détaillé de directives que les développeurs doivent suivre. Pourtant, d’une manière ou d’une autre, ce clone de LastPass a été accepté.
De plus, lorsqu’Apple prend connaissance d’une application qui enfreint ses directives, il agit généralement rapidement pour la supprimer de l’App Store et interdire le développeur. Cependant, le faux LastPass reste disponible sur l’App Store d’Apple au moment de la publication de cette histoire.
Le même développeur a une autre application sur l’App Store qui semble légitime, de sorte que la possibilité que son compte ait été détourné par des acteurs malveillants ne peut être exclue.
Si vous avez installé la fausse application LastPass, vous devez immédiatement la supprimer et changer votre mot de passe à lastpass.com. Il est alors conseillé d’effectuer la tâche ardue de réinitialiser tous les mots de passe stockés dans votre coffre-fort LastPass pour être en sécurité.
Breachtrace a contacté Apple au sujet de la fausse application LastPass, mais aucune réponse n’était immédiatement disponible.