L’infrastructure de Dashlane a-t-elle été piratée ? La réponse est non. En réalité, le gestionnaire de mots de passe Dashlane a été la cible d’une vaste campagne d’attaques par brute force au cours du week-end du 31 mai 2026. Voici ce que l’on sait.

Une pluie d’alertes qui sème le doute chez les utilisateurs

L’incident a débuté le 31 mai 2026, lorsque de nombreux utilisateurs de Dashlane ont commencé à recevoir des alertes de sécurité par e-mail, leur indiquant que leur compte était temporairement suspendu. D’autres utilisateurs, quant à eux, ont vu apparaître des notifications signalant des tentatives de connexion provenant de zones géographiques inhabituelles, notamment de la Russie.

Forcément, quand il est question d’un gestionnaire de mots de passe, cela interroge compte tenu de la criticité de ce type de service. Une question s’est alors posée : s’agit-il d’alertes légitimes envoyées par les services de Dashlane ou d’une campagne de phishing pour tenter de piéger les utilisateurs ? Surtout, il n’est pas question de deux ou trois utilisateurs : il y a eu une réelle vague de notifications envoyées à beaucoup d’utilisateurs (ce qui a engendré la publication de beaucoup de messages sur Reddit).

Que s’est-il passé réellement ? La réponse vient de Dashlane directement.

La réponse de Dashlane : une sécurité automatisée qui a joué son rôle

Face à ces nombreux signalements, Dashlane a ouvert une enquête en interne (à 15h19 UTC le 31 mai) et un ticket a été créé sur la page d’état des services. Quelques heures plus tard, et après analyse des notifications, Dashlane a pu clarifier la situation.

“Nous pouvons confirmer que certains comptes d’utilisateurs Dashlane ont été ciblés dans le cadre d’une attaque par brute force par un tiers externe, ce qui a entraîné la suspension de ces comptes dans le cadre des mesures de sécurité intégrées de Dashlane.”, a précisé Dashlane.

Il faut donc en déduire que :

• L’infrastructure de Dashlane n’a pas été compromise,
• Les pirates ont tenté de se connecter à des comptes de façon aléatoire (brute force), en utilisant certainement des identifiants (e-mail et mot de passe) obtenus à partir d’une autre fuite de données.
• Les mécanismes de protection de Dashlane ont fait leur job, à savoir protéger les utilisateurs en cas d’activité suspecte.

Ce qui est gênant, c’est que le compte se retrouve bloqué par mesure de sécurité puisque cela pénalise directement l’utilisateur. Néanmoins, l’avantage, c’est que l’attaquant ne peut plus tenter de deviner votre mot de passe : l’attaque sur votre compte est stoppée.

Désormais, cet incident est de l’histoire ancienne : l’accès aux comptes suspendus a été entièrement rétabli par les équipes techniques durant le week-end. Toutefois, Dashlane n’a pas communiqué le nombre exact d’utilisateurs ciblés par cette campagne.

Bonnes pratiques pour protéger votre compte

Que vous utilisiez Dashlane ou un autre gestionnaire de mots de passe, cet article est l’occasion de rappeler quelques bonnes pratiques :

• Assurez-vous que le mot de passe maître de votre compte est robuste et unique.
• Activez l’authentification à deux facteurs (2FA).
• Configurez le verrouillage automatique de votre coffre-fort après une inactivité (10 minutes, par exemple).
• En cas de réception d’une notification de suspension, vérifiez l’activité de son compte directement depuis l’application officielle ou le site web du service, sans jamais cliquer sur les liens intégrés dans le corps de l’e-mail reçu.