LastPass (ICO, 20/11/2025) : £1,23 M pour une sauvegarde exfiltrée

Résumé. L’ICO a infligé £1 228 283 à LastPass UK Ltd après l’exfiltration d’une base de sauvegarde. Voici comment des sauvegardes immuables et isolées, exigées par DORA art. 12, évitent qu’un incident similaire ne mette votre activité à genoux — et comment le prouver.

Les faits

Le 20 novembre 2025, l’Information Commissioner’s Office (ICO) au Royaume‑Uni a sanctionné LastPass UK Ltd à hauteur de £1 228 283 pour manquements à l’article 5(1)(f) et à l’article 32(1)(f) du UK GDPR. Motif central : un acteur malveillant a exfiltré des données personnelles d’environ 1,6 million de clients britanniques depuis une base de sauvegarde. L’ICO souligne que, si le système « zero‑knowledge » a protégé le contenu chiffré des coffres, l’accès au dépôt de sauvegarde lui‑même n’était pas suffisamment sécurisé — révélant un angle mort fréquent : la sauvegarde comme dernière ligne de défense qui devient la première cible. Source : ICO – LastPass UK Ltd. (ico.org.uk)

Pour des dirigeants et DSI au Luxembourg (secteur financier en tête), la leçon est directe : un attaquant qui atteint vos sauvegardes compromet votre capacité de reprise. En 2026, les guides de résilience (CISA, ENISA) rappellent la priorité donnée aux sauvegardes hors de portée de l’attaque et immutables (écriture unique, suppression impossible pendant la rétention) comme socle d’une reprise sûre après rançongiciel. Voir par exemple CISA StopRansomware Guide. (cisa.gov)

Le cadre légal qui s’applique

Depuis le 17 janvier 2025, le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique (règlement DORA) s’applique aux entités financières de l’UE. Son article 12 impose des politiques et procédures de sauvegarde, ainsi que des méthodes documentées de restauration et de récupération, placées sous le contrôle de l’entité financière. Références officielles : EUR‑Lex – DORA et EBA – Article 12 (Interactive Single Rulebook). (eur-lex.europa.eu)

L’objectif de DORA art. 12, confirmé par les régulateurs sectoriels (EIOPA/EBA en Q&A), est clair : restaurer depuis des sauvegardes sous votre contrôle, sur des systèmes maîtrisés, et prouver la capacité de reprise par des tests périodiques. En pratique, cela inclut l’intégrité des sauvegardes, leur séparation logique et/ou physique du SI de production, la protection contre l’effacement/modification, et des exercices de restauration outillés et tracés. Voir par ex. EIOPA Q&A DORA038‑2991. (eiopa.europa.eu)

Hors secteur financier, l’article 32 du RGPD fonde l’obligation de mesures « appropriées » pour garantir confidentialité, intégrité, disponibilité et résilience — notion qui couvre explicitement les sauvegardes et leur restauration. En contentieux, les autorités (dont l’ICO dans l’affaire LastPass) s’appuient sur cet article pour sanctionner les failles de sécurité liées aux dépôts de sauvegarde. Référence : CNIL – Art. 32 RGPD. (cnil.fr)

La solution technique à déployer

Backups immuables + isolation réseau (et tests de restauration) : c’est le triptyque qui répond à DORA art. 12 et au RGPD 32, tout en réduisant considérablement l’impact d’un rançongiciel.

• Immutabilité/WORM : stockage en « écriture unique/lecture multiple » (WORM) ou verrouillage d’objets (ex. S3 Object Lock, Immutable Blob) empêchant modification/suppression pendant la période de rétention. Ce contrôle neutralise l’effacement massif des sauvegardes par l’attaquant. Référence bonnes pratiques : CISA. (cisa.gov)
• Isolation (air‑gap logique/physique) : séparer le plan de sauvegarde du domaine d’administration « prod » (comptes, réseaux, coffres secrets, KMS), limiter l’exposition aux protocoles d’attaque usuels, journaliser et superviser les accès au dépôt. Les régulateurs DORA attendent que la restauration se fasse depuis un environnement contrôlé par l’entité. Réf. : EIOPA Q&A. (eiopa.europa.eu)
• Chiffrement at‑rest et in‑transit + gestion de clés : chiffrement systématique des sauvegardes, clés isolées du domaine compromis, rotation et délégation minimale. Le chiffrement ne remplace pas l’immutabilité, mais complète la défense (RGPD art. 32). Réf. : CNIL – Art. 32. (cnil.fr)
• Tests de restauration réguliers et tracés : preuves DORA qu’un RPO/RTO cible est atteignable, et que les sauvegardes ne ré‑introduisent pas un binaire malveillant. Les guides ENISA/CISA recommandent des restaurations fréquentes et variées. Réf. : CISA. (cisa.gov)
• Supervision de sécurité du plan de sauvegarde : alertes en temps réel sur suppressions massives, expiration anormale de verrous, ou accès hors fenêtre; conservation des journaux pour la forensique et la preuve de conformité (DORA, RGPD 32). Réf. : EUR‑Lex DORA. (eur-lex.europa.eu)

Alignements standards : ISO/IEC 27001:2022 Annexe A (5.29 sauvegarde), ISO/IEC 27031 (continuité TIC), NIST CSF 2.0 (PR.DS‑08, RS.MI‑01), CIS Controls v8 (Control 11, 12).

Comment Luxgap déploie cela

• Notre gouvernance ISO 27001 : nous cadrons la politique DORA art. 12 (rôles, RPO/RTO, matrices de criticité), cartographions les jeux de données critiques, définissons la stratégie 3‑2‑1‑1‑0 et le plan de tests de restauration. Nous documentons les preuves requises pour vos audits CSSF/ILR et votre plan de continuité et de reprise.
• Notre SOC managed 24/7 : nous branchons les journaux des solutions de sauvegarde et de stockage (verrous WORM, accès admin, tentatives de suppression, modifications de rétention) dans votre SIEM. Règles de corrélation dédiées « anti‑destruction de sauvegardes », playbooks SOAR pour enclencher le gel des comptes et la coupure réseau ciblée en cas d’attaque.
• Nos consultants DPO et CISO externalisés : nous alignons RGPD 32 et DORA 12, organisons les exercices de restauration documentés, établissons le dossier de preuve (registre DORA, rapport de test, écarts/PLAN DO CHECK ACT) et préparons la communication régulatoire en cas d’incident. Pour le cadre légal général, voir notre page RGPD.

Cas concret au Luxembourg ou en UE

Une société de gestion luxembourgeoise (soumise DORA) a basculé, en six semaines, d’un dépôt de sauvegarde mutualisé à une architecture à double coffre : copies immuables WORM sur stockage objet avec verrous de rétention 30 jours, air‑gap logique via comptes d’administration séparés et transit chiffré, plus un runbook de restauration testé chaque mois. Résultat : lors d’un incident d’extorsion sans chiffrement en 2026, la détection SOC a stoppé une tentative de suppression sur le dépôt principal; les copies immuables sont restées intactes et la reprise a été réalisée en 6 heures, avec journaux et rapports fournis au contrôle interne et au régulateur.

Premiers pas concrets

1. Cartographier vos sauvegardes : quoi, où, qui y accède, quelles durées de rétention. Identifiez les dépôts exposés au même domaine d’admin que la prod.
2. Activer l’immutabilité sur au moins un jeu de sauvegardes critiques (WORM/Object Lock) avec rétention non‑réductible et sauvegarde des journaux d’admin hors du domaine prod.
3. Isoler le plan de sauvegarde : comptes dédiés, segmentation réseau, pare‑feu d’administration, MFA robuste pour les consoles de backup, clés KMS sous coffre distinct.
4. Tester et tracer la restauration : un test « à froid » par mois et un test « à chaud » ciblé par trimestre; consignez RTO/RPO atteints et écarts.
5. Superviser : alertez sur suppression de masse, baisse de rétention, désactivation d’immutabilité; conservez les preuves pour DORA art. 12/RGPD 32.

Sources officielles

• ICO – LastPass UK Ltd (20/11/2025) : £1 228 283 pour manquements sécurité, exfiltration d’une base de sauvegarde. (ico.org.uk)
• EUR‑Lex – Règlement (UE) 2022/2554 (DORA), art. 12 « politiques et procédures de sauvegarde ». (eur-lex.europa.eu)
• EBA – DORA Article 12 (Interactive Single Rulebook). (eba.europa.eu)
• EIOPA – Q&A DORA038‑2991 (restauration depuis systèmes sous contrôle de l’entité). (eiopa.europa.eu)
• CISA – Ransomware Guide (sauvegardes isolées, immutables et testées). (cisa.gov)
• CNIL – RGPD Article 32 (sécurité du traitement, résilience). (cnil.fr)

Besoin d’un accompagnement ? Contactez-nous via la page contact.