LastPass heeft bevestigd dat het in juni 2026 opnieuw is geraakt door een datalek. Dit keer liep het via Klue, een externe leverancier van marktinformatie die was gekoppeld aan systemen van LastPass zoals Salesforce en Gong. Volgens LastPass zat het probleem deze keer niet in de eigen omgeving, maar bij Klue. Aanvallers kwamen via die schakel in de supplychain bij klantgegevens. LastPass zegt erbij dat wachtwoordkluizen en master passwords in dit incident niet zijn getroffen.
LastPass-datalek liep via supplychain-aanval op Klue
Volgens LastPass draaide de aanval om gestolen OAuth-tokens die bij Klue waren opgeslagen. Met die tokens konden aanvallers de Salesforce-omgeving van LastPass in en daar data meenemen. Het gaat dus om een klassiek supplychain-incident. Niet LastPass zelf werd direct gehackt, maar een leverancier die werd vertrouwd en diepgaande koppelingen had.
Dat is extra gevoelig. In platforms als Salesforce staat vaak veel klant- en supportinformatie opgeslagen. LastPass zegt dat de betrokken integratie inmiddels is uitgezet en dat de ongeautoriseerde toegang is afgesloten.
Welke gegevens zijn mogelijk buitgemaakt?
Volgens LastPass zijn waarschijnlijk de volgende gegevens bekeken of gekopieerd:
- klantnamen
- telefoonnummers
- e-mailadressen
- post- of woonadressen
- supportcases
- verkoop- of relatiegegevens uit Customer Relationship Management-systemen (CRM)
Voor gerichte phishing en social engineering is juist dit soort buit interessant. Met deze gegevens kunnen criminelen zich vrij overtuigend voordoen als LastPass, als supportmedewerker of zelfs als accountmanager. Ben je klant, dan is het verstandig extra scherp te zijn op e-mails, telefoontjes of berichten waarin om inloggegevens, verificatiecodes of betalingen wordt gevraagd.
Geen toegang tot vaults of master passwords
LastPass zegt nadrukkelijk dat klantkluizen en master passwords bij dit incident buiten bereik zijn gebleven. Voor gebruikers is dat een belangrijk verschil met eerdere beveiligingsproblemen bij LastPass.
Toch is er alle reden om alert te blijven. Contact- en supportgegevens kunnen aanvallers precies genoeg houvast geven om phishingmails geloofwaardig te maken, bijvoorbeeld met verwijzingen naar eerdere tickets, abonnementen of bedrijfsinformatie. En juist dat maakt de kans groter dat iemand op een link klikt of toch extra gegevens deelt.
Reactie van LastPass en waarschuwing aan klanten
Volgens LastPass is de getroffen toegang meteen ingetrokken, hebben medewerkers geen toegang meer tot Klue en loopt er inmiddels een onderzoek. Tegelijk waarschuwt het bedrijf klanten om voorzichtig te zijn met verdachte communicatie, ook wanneer die op het eerste gezicht betrouwbaar overkomt.
Volgens berichtgeving is de aanval op Klue opgeëist door een dreigingsactor die zichzelf Icarus noemt. Daarbij zouden meerdere organisaties zijn geraakt, onder meer Recorded Future, Tanium, Jamf, Sprout Social, Gong en Insurity.
Nieuw incident na de harde klap van 2022
Het nieuwe datalek komt voor LastPass op een pijnlijk moment. Het bedrijf voelt nog altijd de nasleep van de veel grotere hack uit 2022. Bij die aanval maakten hackers back-ups van klantkluizen buit. Daarna kwamen er meldingen dat sommige kluizen offline waren gedecrypt en dat er cryptovaluta was gestolen.
Die eerdere affaire leidde in 2025 onder meer tot een boete van 1,23 miljoen pond van de Britse ICO en tot een schikking van 24,5 miljoen dollar in een class action. Juist daarom zal ook dit nieuwe incident, ondanks de beperktere impact op wachtwoordgegevens, scherp worden gevolgd door klanten en toezichthouders. Zeker nu LastPass het incident zelf heeft bevestigd.
