Settlement LastPass: come ottenere un rimborso fino a 10.000 dollari

Se avevi un account LastPass quando si è verificata la violazione dei dati, potresti rientrare tra gli utenti che possono richiedere un pagamento in denaro o altri benefici. La cosa più importante da fare adesso è verificare la tua idoneità e inviare la richiesta entro la scadenza.

Cosa è successo con LastPass

Nel 2022 LastPass è stata coinvolta in due gravi incidenti di sicurezza che hanno esposto i vault degli utenti. Nei dati compromessi potevano esserci informazioni come nomi utente, password, note protette, dati compilati automaticamente e URL dei siti salvati. In seguito, alcuni ricercatori hanno segnalato che i criminali informatici sarebbero riusciti a decifrare alcune master password e a sottrarre anche criptovalute ad alcuni utenti.

Dopo le azioni legali dei consumatori, l’azienda ha accettato un accordo da 8,2 milioni di dollari. Questo significa che una parte degli utenti interessati può chiedere un risarcimento in base al tipo di account e alle perdite documentate.

Chi può ricevere un pagamento

In generale, possono essere inclusi nel gruppo della class action gli utenti residenti negli Stati Uniti che avevano un account LastPass con dati presenti al momento della violazione. In molti casi, chi rientra nella classe ha ricevuto una comunicazione via email oppure un avviso ufficiale relativo all’accordo.

L’ammontare del rimborso dipende da più fattori:

• tipo di account LastPass posseduto al momento dell’incidente;
• residenza in California;
• presenza di perdite documentabili legate alla violazione;
• eventuali costi sostenuti per proteggere l’identità o recuperare fondi sottratti.

Quanto potresti ricevere

Chi aveva un account Premium, Family o Business può richiedere un pagamento base di 25 dollari. Gli utenti del piano gratuito non ricevono il pagamento in contanti base, ma possono ottenere un abbonamento Premium di 6 mesi.

Se eri residente in California, puoi richiedere un ulteriore rimborso di 100 dollari, indipendentemente dal tipo di account.

Gli utenti con perdite documentate possono inoltre richiedere benefici aggiuntivi, tra cui:

• fino a 300 dollari per servizi come monitoraggio del credito, protezione dell’identità, recupero dell’identità, monitoraggio del dark web e alcuni servizi sanitari o di sicurezza;
• fino a 10.000 dollari per spese connesse a furto d’identità e frodi;
• fino a 90.000 dollari per perdite in criptovalute, per singolo richiedente, se adeguatamente documentate.

Cosa devi fare adesso

Per ottenere un eventuale pagamento, devi inviare una richiesta entro le 23:59 ET del 2 luglio 2026. La domanda può essere presentata online tramite il portale dedicato all’accordo.

Per completare la procedura, in genere serve:

• il numero identificativo e il PIN presenti nell’avviso di settlement;
• la conferma di alcune informazioni sul tuo account LastPass;
• documenti di supporto, se richiedi un rimborso aggiuntivo per perdite o spese.

Tra i documenti utili possono esserci:

• ricevute;
• fatture;
• estratti conto bancari;
• copie di email o altre comunicazioni;
• prove delle perdite in criptovalute o di altre frodi.

Se pensi di far parte della classe ma non hai ricevuto l’avviso, o non riesci più a trovarlo, è possibile contattare l’amministratore dell’accordo per assistenza.

Cosa aspettarsi dopo l’invio

Anche dopo aver inviato la richiesta, i pagamenti non arrivano subito. Prima deve essere completata l’approvazione finale dell’accordo e poi il processo di revisione delle domande. Questo significa che potrebbero passare altre settimane o mesi prima della distribuzione effettiva dei fondi.

Nel frattempo, LastPass sta aggiungendo automaticamente servizi di dark web monitoring agli utenti colpiti dalla violazione che mantengono ancora un account attivo. Questo non sostituisce un rimborso, ma rappresenta una misura aggiuntiva di protezione.

Come capire se conviene presentare domanda

Se ricevi l’avviso e hai avuto un account attivo durante la violazione, conviene quasi sempre controllare i dettagli del settlement. Anche chi pensa di avere solo un piccolo diritto può ottenere un beneficio base o un credito di servizio. Se invece hai subito perdite reali, la documentazione può aumentare in modo significativo l’importo richiesto.

Per questo motivo, è utile raccogliere subito ogni prova disponibile, soprattutto se hai sostenuto costi per bloccare carte, monitorare il credito, recuperare account o gestire transazioni fraudolente.

Technical Deep Dive

Dal punto di vista tecnico, questo caso è rilevante perché coinvolge un gestore di password, cioè un servizio progettato per proteggere credenziali e note sensibili in un vault centralizzato. Quando un attacco compromette un password manager, il rischio non riguarda solo l’accesso a un singolo account, ma potenzialmente l’intero patrimonio di segreti digitali dell’utente.

Nel caso LastPass, la criticità non è limitata ai dati cifrati: la presenza di metadati, URL salvati, campi compilati automaticamente e informazioni non cifrate può facilitare attività di phishing mirato, credential stuffing e ricognizione sulle abitudini dell’utente. Se un aggressore riesce inoltre a ottenere elementi sufficienti per tentare l’offline cracking della master password, il modello di sicurezza del vault può degradare rapidamente, soprattutto se la password principale è debole o riutilizzata altrove.

Per gli utenti tecnicamente avanzati, le priorità operative dopo un incidente simile sono:

• cambiare la master password del password manager;
• verificare la presenza di MFA su account critici;
• ruotare le password più sensibili, a partire da email primaria, banking e autenticazione cloud;
• controllare accessi anomali, token attivi e dispositivi autorizzati;
• esaminare eventuali transazioni sospette su wallet o exchange collegati;
• usare password uniche e una strategia di rotazione mirata per gli account a rischio più alto.

In ambito forense, la documentazione delle perdite è determinante per le richieste economiche più alte. Le prove migliori includono timestamp, ID transazione, ricevute di servizi di protezione, report di frode, ticket con istituti finanziari e cronologia delle comunicazioni con supporto tecnico o banche. Senza questi elementi, una richiesta per danni estesi può essere ridotta o respinta.

Per gli amministratori di sicurezza aziendale, un evento di questo tipo evidenzia anche l’importanza di segmentare i privilegi, limitare l’esposizione dei vault condivisi e verificare che i team usino policy robuste per accessi privilegiati. In un contesto enterprise, un password manager compromesso deve essere trattato come un incidente di identità ad alto impatto, non solo come una violazione di dati convenzionale.

Fonte: https://lifehacker.com/tech/the-lastpass-data-breach-settlement-payouts?utm_medium=RSS