LastPass non funziona oggi?

A proposito di LastPass

LastPass è un gestore di password fondato nell'ottobre 2008 a Fairfax, in Virginia, da Joe Siegrist, Robert Billingslea e Sameer Kochar. Acquistata da LogMeIn nel 2015 per circa 110 milioni di dollari, è passata nel 2020 sotto il controllo dei fondi Francisco Partners ed Elliott Management insieme al resto di LogMeIn; lo scorporo in società indipendente, annunciato a dicembre 2021, si è concluso a maggio 2024. Oggi LastPass è controllata direttamente da Francisco Partners ed Elliott Investment Management, con sede a Boston e Karim Toubba alla guida come CEO dal 2022.

Il servizio dichiara oltre 33 milioni di utenti complessivi e circa 1,6 milioni di clienti paganti (dato 2024). Il vault delle password è cifrato lato client in AES-256 con derivazione PBKDF2-SHA256: la master password non viene mai trasmessa né conosciuta da LastPass, un'architettura «a conoscenza zero» che regge fintanto che il vault cifrato non finisce nelle mani di terzi, come avvenuto nel 2022 (vedi sotto).

Dalle estensioni browser e dalle app passano generazione e compilazione automatica delle password, sincronizzazione tra dispositivi, un cruscotto di sicurezza che segnala password deboli o riutilizzate, il monitoraggio del dark web e l'autenticazione a più fattori tramite chiavi YubiKey o l'app LastPass Authenticator. Il piano gratuito limita l'uso a una sola tipologia di dispositivo (solo computer o solo mobile) e include una prova Premium di 30 giorni; oltre al Premium individuale esiste il piano Families per un massimo di sei persone con cartelle condivise, e i piani aziendali Teams, Business e Business Max con console di amministrazione e policy di sicurezza.

Segnalazioni degli utenti

Ultimi disservizi noti di LastPass

Episodi documentati da fonti pubbliche, dal più recente. Fonti verificate il 5 settembre 2026.

• 12 giugno 2026divulgato il 23 giugno 2026

  Il gruppo di minaccia Icarus ha compromesso Klue, piattaforma di market intelligence in uso ai team LastPass e integrata con Salesforce, sfruttando credenziali di integrazione obsolete per rubare i token OAuth che collegavano Klue ai sistemi terzi; ha così avuto accesso all'ambiente Salesforce di LastPass, da cui ha sottratto nomi, telefoni, email e indirizzi dei clienti oltre ai dati dei ticket di assistenza. LastPass ha precisato che vault dei clienti e infrastruttura propria non sono stati toccati e ha disattivato l'accesso a Klue ruotando i token compromessi.

  Fonte: TechCrunch, Password manager maker LastPass says hackers stole customer support case data during Klue breach (23 giugno 2026)

• 22 dicembre 2022

  LastPass conferma pubblicamente che un aggressore, dopo aver catturato con un keylogger la master password di un ingegnere DevOps senior (il cui computer personale era stato compromesso il 12 agosto tramite un server Plex non aggiornato), ha usato quelle credenziali per accedere allo storage cloud e copiare, tra il 20 agosto e il 16 settembre 2022, il database utenti e più backup dei vault clienti. Sottratti in chiaro nomi, email, indirizzi di fatturazione e URL dei siti salvati; i vault restano cifrati con la master password di ciascun utente. L'autorità britannica ICO ha poi quantificato in oltre un milione i soggetti dati coinvolti nel solo Regno Unito.

  Fonte: LastPass Blog, Notice of Recent Security Incident (22 dicembre 2022)

• 12 agosto 2022attività rilevata su quattro giorni

  Prima tappa del doppio incidente 2022: tra l'8 e l'11 agosto un aggressore compromette il laptop di uno sviluppatore e scarica il codice sorgente di 14 repository di LastPass insieme a documentazione tecnica e a una copia cifrata della chiave usata per proteggere i backup su Amazon S3. Rilevato tramite un alert di AWS GuardDuty l'11 agosto, con Mandiant ingaggiata il 13 agosto per la risposta all'incidente; LastPass comunica l'episodio il 25 agosto dichiarando nessuna evidenza, a quel momento, di accesso ai dati dei clienti.

  Fonte: Wikipedia (EN), 2022 LastPass data breach — cronologia dettagliata

• 15 giugno 2015

  LastPass rileva e blocca un'attività sospetta sulla propria rete; gli aggressori riescono a sottrarre indirizzi email degli account, promemoria della master password, i «salt» per utente lato server e gli hash di autenticazione. L'azienda dichiara nessuna evidenza che i dati dei vault (password, note, profili salvati) siano stati raggiunti, e notifica l'accaduto via blog e email agli utenti.

  Fonte: LastPass Blog, LastPass Hacked - Identified Early & Resolved (15 giugno 2015)

Da sapere su LastPass

Il 20 novembre 2025 l'autorità britannica per la protezione dei dati (ICO) ha multato LastPass UK Ltd per 1.228.283 sterline — annuncio pubblico l'11 dicembre 2025 — contestando la mancata adozione, nel periodo dicembre 2021-dicembre 2024, di misure tecniche e organizzative adeguate: tra i rilievi, la possibilità per dipendenti con ruoli sensibili di usare da dispositivi personali account «Employee Business» collegati, sotto un'unica master password, agli account «Personal». L'ICO ha comunque riconosciuto che non c'è evidenza di password dei clienti decifrate, restando queste custodite localmente sui dispositivi.

Negli Stati Uniti un tribunale federale ha dato l'approvazione preliminare, a febbraio 2026, a un accordo transattivo da quasi 24,5 milioni di dollari a carico di LastPass sulla class action legata al breach 2022: un fondo generale da 8,2 milioni di dollari e uno specifico da 16,25 milioni per chi ha perso criptovalute dopo che il proprio vault è stato craccato, con scadenza per i reclami fissata al 2 luglio 2026. Una class action distinta, depositata l'8 febbraio 2023 presso la Corte Suprema della British Columbia, si è chiusa con un accordo da 3 milioni di dollari per i clienti canadesi.

Il legame tra il furto dei vault del 2022 e successivi furti di criptovalute è stato documentato da Krebs on Security: a settembre 2023 il sito ha collegato oltre 150 vittime e più di 35 milioni di dollari in cripto-asset rubati a vault LastPass craccati offline, individuando come fattore comune la conservazione nel vault delle «seed phrase» dei portafogli; a marzo 2025 lo stesso sito ha riportato che inquirenti federali statunitensi hanno ricondotto un furto da 150 milioni di dollari ai danni del co-fondatore di Ripple, Chris Larsen (gennaio 2024), a una master password craccata a partire da un vault sottratto nel 2022.

Informazioni utili su LastPass

• Sito ufficiale Portale lastpass.com/it lastpass.com Punto di accesso al vault online, alla gestione del piano sottoscritto e alle pagine informative in italiano.
• App ufficiale Estensioni browser e app mobile Chrome, Firefox, Edge, Safari, App Store, Google Play Le estensioni browser restano il punto di accesso principale per autofill e generazione password.
• Centro assistenza Centro assistenza LastPass support.lastpass.com Servizio in autonomia con articoli in italiano; per aprire una richiesta al supporto serve accedere con l'account. Non risulta pubblicato un indirizzo email diretto per l'assistenza clienti generale, né un numero di telefono pubblico.
• Email Segnalazione di vulnerabilità di sicurezza securitydisclosure@lastpass.com
• Canale social Account ufficiali X/Twitter @LastPass, @LastPassHelp per il supporto, @LastPassStatus per gli stati di servizio
• Pagina di stato Pagina di stato ufficiale status.lastpass.com Pagina statuspage.io che traccia lo stato di decine di componenti del servizio (vault, estensioni, sincronizzazione, API) e la cronologia degli incidenti passati.