Phishing gegen LastPass: Dringlichkeit und Betrug, um das Master-Passwort zu stehlen

LastPass hat über eine aktive Phishing-Kampagne informiert dass versucht, den Passwort-Manager zu täuschen Benutzer und erhalten sie, um ihre Master-Passwort zu liefern. Die Welle der betrügerischen E-Mails, die vom 19. Januar 2026 erkannt wurde, nutzt Ausreden im Zusammenhang mit angeblicher Wartung und fordert die Opfer auf, innerhalb kürzester Zeit eine lokale Kopie ihres Tresors zu erstellen, mit der Absicht, eine impulsive Reaktion zu verursachen.

Die Angreifer senden Nachrichten mit Problemen, die offizielle Kommunikation imitieren, um Dringlichkeit und Legitimität zu vermitteln. Von LastPass erklären sie, dass diese Taktik - Druck mit kurzen Fristen und Sicherheitsalarmen - eine der effektivsten in Phishing-Kampagnen ist, weil es die Nutzer dazu treibt, einfache Kontrollen zu überspringen. Das Unternehmen hat darauf bestanden, dass das Master-Passwort niemals per Post anfordern und dass es keine sofortigen Handlungsfristen zur Wiederherstellung oder Ausfuhr von Gewölben auferlegt.

Die Täuschung leitet die Opfer zuerst auf eine von den Angreifern kontrollierte Infrastruktur um, die in einem S3-Bucket mit einer Route ähnlich wie "group-content-gen2.s3.eu-west-3.amazonaws [.] com / 5yaVgx51ZGf beherbergt, und von dort zu einer Domäne, die zu LastPass gehört, identifiziert alsPostlast [.] com. LastPass hat Informationen über die Kampagne veröffentlicht und koordiniert mit externen Partnern, um zu versuchen, die bösartige Infrastruktur zu brechen; Ihre offizielle Mitteilung kann auf Ihrem Unternehmensblog konsultiert werden: Blog.lastpass.com. Darüber hinaus wurde die betrügerische Domain in Geheimdiensten wie VirusTotal erfasst und analysiert: VirusTotal - Post-lastpass [.] Komm..

LastPass hat auch die E-Mail-Adressen bereitgestellt, von denen bösartige Nachrichten kommen, um Benutzer zu identifizieren: zum Beispiel erscheinen sie als Support @ sr22vegas [.] com und Varianten, die versuchen, legitim aussehen (support @ lastpass [.] server8, support @ lastpass [.] server7, support @ lastpass [.] server3). Die Darstellung der Home-Adressen macht es einfach zu überprüfen, ob eine E-Mail von einer realen Quelle kommt oder nicht, wie Angreifer häufig ähnliche Domains oder kompromittierte Server verwenden, um Echtheit zu geben.

Was für ein Risiko es ist, in diese Falle zu fallen. Wenn ein Angreifer das Master-Passwort erhält, hat er einen potenziellen Zugriff auf die gesamte Gruppe von Anmeldeinformationen, die im Tresor des Benutzers gespeichert sind, was eine kritische Service-Accountability, Finanzinformationen Diebstahl und Identitäts-Supplanting ermöglichen kann. Obwohl viele Tresore verschlüsselt sind und einige Manager zusätzliche Schutzmechanismen anwenden, bleibt die Master-Passwort-Exposition der direkteste Weg für ein ernstes Engagement.

Um zu vermeiden, Opfer zu sein, ist es angebracht, einfache, aber effektive Praktiken zu folgen: Wenn Sie eine E-Mail erhalten, die sofortige Aktion erfordert, drücken Sie keine Links oder laden Sie beigefügte Dateien; öffnen Sie den Passwort-Manager oder die offizielle Website, indem Sie die URL manuell oder mit einem zuverlässigen Marker schreiben; überprüfen Sie den Absender ruhig und überprüfen Sie die Schreibweise und den Ton der Nachricht; und aktivieren Sie gegebenenfalls zusätzliche Authentifizierungsfaktoren, um Zugriff auf Ihr Konto zu schützen. Die Cyber-Sicherheitsbehörden und Teams empfehlen ähnliche Schritte wie allgemeine Maßnahmen gegen Phishing - Sie können praktische Anleitungen in öffentlichen Einrichtungen wie der US-Infrastruktur-Sicherheits- und Cybersicherheitsagentur lesen. Vereinigte Staaten (CISA) CISA - Tipps gegen Phishing oder das United Kingdom National Cyber Security Centre NCSC - Phishing.

LastPass hat Kunden, die verdächtige E-Mails melden und die Bedeutung der Zusammenarbeit zwischen Benutzern und Sicherheitsteams hervorgehoben, um solche Kampagnen zu behandeln. Spezielle Medien in Cybersicherheit haben auch die Nachrichten und interviewten Sprecher des Teams Threat, Mitigation und Escalating Intelligence (TIME) des Unternehmens gesammelt, die die Absicht der Angreifer hervorheben, ein falsches Gefühl der Dringlichkeit zu erzeugen, um menschliche Fehler zu erzwingen; mehr Informationen und Kontext können in technologischen Portalen wie The Hacker News.

Wenn Sie denken, dass Sie auf eine solche E-Mail geantwortet haben und Sie Ihr Master-Passwort auf einer verdächtigen Seite eingegeben haben, handeln Sie schnell: Ändern Sie das Master-Passwort von einem sicheren Gerät, überprüfen Sie den Zugriff und aktive Sitzungen in Ihrem Konto, und betrachten Sie die Wiederherstellung kritischer Service-Passwörter, wenn es Anzeichen von Missbrauch. Es wird auch empfohlen, den Vorfall auf LastPass und die Support-Kanäle des betreffenden Dienstes zu benachrichtigen, damit diese Maßnahmen ergreifen und andere Nutzer alarmieren können.

Die Lehre, die diese Episode hinterlassen hat, ist doppelt: einerseits, Angreifer weiterhin ihre Methoden der Ausbeutung von Eile und Vertrauen; andererseits die kollektive Antwort - aufmerksame Nutzer, Lieferanten, die Mitteilungen und Plattformen veröffentlichen, die schädliche Infrastruktur zu entfernen handeln - bleibt die effektivste Verteidigung. Die Erhaltung der grundlegenden digitalen Sicherheitsgewohnheiten und das Misstrauen der dringenden Mail-Anfragen bleibt heute mehr denn je eine wesentliche Maßnahme.