Podvodné emaily vzdávajú pokusy kradnutia hesiel od LastPass užívateľov
Užívatelia správy hesiel LastPass boli obetou novej phishingovej kampane, ktorá sa snaží získať prístup k ich citlivým informáciám použitím falošných emailových vlákien. Spoločnosť varovala pred podvodnými emailmi a poskytla odporúčania, ako sa chrániť.
Nová vlna podvodov cielená na užívateľov LastPass
Poskytovateľ softvéru na správu hesiel LastPass upozorňuje na novú phishingovú kampaň, ktorá zneužíva falošné emaily na oklamanie ich užívateľov. Útočníci sa snažia presvedčiť obete, aby zareagovali rýchlo, odhalili svoje prihlasovacie údaje a tak umožnili zlodejom prístup k ich heslám.
Taktiky a metódy útočníkov
Podvodníci sa vydávajú za zástupcov LastPassu, pričom používajú techniky ako imitovanie interných konverzácií medzi tímom zákazníckej podpory a útočníkmi o zmene primárnej emailovej adresy účtu. Emailové vlákna obsahujú odkazy ako „nahlásiť podozrivú aktivitu“ či „odpojiť a zamknúť trezor“.
Falošné webové stránky a sieť útočníkov
Kliknutie na tieto odkazy prevezme užívateľa na falošnú prihlasovaciu stránku na doméne „verify-lastpass[.]com“, ktorá zachytáva prihlasovacie údaje. Aj keď ide o primárnu doménu, útočníci používajú aj mierne modifikované URL adresy, aby obetí zmýlili.
Obrana a kroky LastPassu
LastPass zdôrazňuje, že ich infraštruktúra nebola kompromitovaná a neexistuje žiadny priamy dopad na ich systémy. Upozornili klientov, že nikdy nežiadajú o ich hlavné heslo a pripomínajú, že by ho nemali nikomu poskytovať. Spoločnosť aktívne pracuje s partnermi na deaktivácii falošných stránok.
Výzva na opatrnosť a vedomie užívateľov
Užívatelia, ktorí obdržia podozrivé komunikácie, sú vyzvaní, aby ich nahlásili na adresu abuse@lastpass.com. V kontexte stále rastúceho počtu útokov je odporúčaná zvýšená opatrnosť pri zaobchádzaní s nevyžiadanými emailmi.
Náročný rok pre LastPass
LastPass sa aj v minulosti stretol s podobnými pokusmi o phishing, vrátane kampane, ktorá sa odohrala začiatkom roka, tvrdilo, že útočníci vyžadujú zálohovanie trezorov do 24 hodín. Následné kampane zahŕňali falošné oznámenia o smrti užívateľov alebo tvrdenia o hackovaní spoločnosti.