Phishing contra LastPass: urgência e engano para roubar a senha-prima

LastPass alertau sobre uma campanha de phishing ativa que trata de suplantar o gestor de senhas para enganar usuários e conseguir que entreguem sua senha-prima. A onda de e-mails fraudulentos, detectada a partir de 19 de janeiro de 2026, usa desculpas relacionadas a uma suposta manutenção e pede às vítimas que “creeem uma cópia local” de sua bóveda em um prazo muito curto, com a intenção de provocar uma reação impulsiva.

Os atacantes enviam mensagens com assuntos que imitam comunicações oficiais, procurando transmitir urgência e legitimidade. Desde o LastPass explicam que esta tática –pressionar com prazos curtos e alertas de segurança – é uma das mais efetivas em campanhas de phishing porque empurrando os usuários para saltar verificações simples. A empresa insistiu que nunca solicitará a senha-prima por correio e que não imporá prazos de acção imediata para recuperar ou exportar bóvedas.

O engano redirige às vítimas primeiro a uma infraestrutura controlada pelos atacantes, alojada em um bucket S3 com uma rota semelhante a "group-content-gen2.s3.eu-west-3.amazonaws[.]com/5yaVgx51ZzGf", e desde lá a um domínio que simula pertencer ao LastPass, identificado comomail- lastpass[.]com. O LastPass publicou informações sobre a campanha e está coordenando com parceiros externos para tentar derrubar a infraestrutura maliciosa; seu aviso oficial pode ser consultado em seu blog corporativo: blog.lastpass.com. Além disso, o domínio fraudulento tem sido registrado e analisado em serviços de inteligência como VírusTotal: VírusTotal — mail- lastpass[.]com.

O LastPass também forneceu os endereços de e- mail a partir das quais chegam as mensagens maliciosos, para ajudar os utilizadores a identificá-los: por exemplo, aparecem remetentes como support@sr22vegas[.]com e variantes que tentam parecer legítimas (support@lastpass[.]server8, support@lastpass[.]server7, support@lastpass[.]server3). Apresentar os endereços de origem facilita verificar se um e-mail procede de uma fonte real ou não, pois os atacantes muitas vezes empregam domínios parecidos ou servidores comprometidos para dar aparência de autenticidade.

Que risco supõe cair nesta armadilha. Se um atacante conseguir a senha-prima, tem potencial acesso a todo o conjunto de credenciais armazenadas na bóveda do usuário, o que pode permitir a tomada de contas de serviços críticos, roubo de informação financeira e suplantação de identidade. Embora muitas bóvedas estejam cifradas e alguns gestores apliquem mecanismos de proteção adicionais, a exposição da senha-prima continua a ser o caminho mais direto para um compromisso grave.

Para evitar ser vítima, é conveniente seguir práticas simples, mas eficazes: se você recebe um e-mail que lhe exige uma ação imediata, não carregue em links ou baixe arquivos anexos; abra o gestor de senhas ou a web oficial escrevendo o URL manualmente ou usando um marcador confiável; verifique o remetente com calma e verifique a ortografia e o tom da mensagem; e, sempre que possível, ativa fatores de autenticação adicionais para proteger o acesso à sua conta. As autoridades e equipamentos de cibersegurança recomendam passos semelhantes como medidas gerais frente ao phishing — você pode ler guias práticas em entidades públicas como a Agência de Segurança de Infraestruturas e Cibersegurança de EE. EUA (CISA) CISA — Dicas contra phishing ou no Centro Nacional de Segurança Cibernética do Reino Unido NCSC — phishing.

O LastPass agradeceu aos clientes que reportam e-mails suspeitos e destacou a importância da colaboração entre usuários e equipes de segurança para atajar esse tipo de campanhas. Meios especializados em cibersegurança também coletaram a notícia e entrevistaram porta-vozes da equipe de Inteligência de Ameaças, Mitigação e Escalado (TIME) da empresa, que enfatizam a intenção dos atacantes de gerar um falso sentimento de urgência para forçar erros humanos; mais informação e contexto pode ser encontrado em portais tecnológicos como The Hacker News.

Se você acha que você respondeu a um e-mail deste tipo e inseriu a sua senha-prima numa página suspeita, ele age rapidamente: muda a senha-prima de um dispositivo seguro, verifique os acessos e sessões ativas na sua conta, e considera restabelecer senhas de serviços críticos se houver indícios de uso indevido. Também é recomendável notificar o incidente ao LastPass e aos canais de suporte do serviço afetado para que possam tomar medidas e alertar outros usuários.

A lição que este episódio deixa é dupla: por um lado, os atacantes continuam sofisticando seus métodos para explorar a pressa e a confiança; por outro, a resposta coletiva – usuários atentos, fornecedores que publicam avisos e plataformas que atuam para retirar infra-estruturas maliciosas – continua sendo a defesa mais eficaz. Manter hábitos de segurança digital básicos e desconfiar dos pedidos urgentes por correio continua a ser, hoje mais do que nunca, uma medida imprescindível.