Fake LastPass support email threads try to steal vault passwords

Campagne de Phishing Ciblant les Utilisateurs de LastPass

Une nouvelle campagne de phishing vise les utilisateurs de LastPass en se faisant passer pour le support technique de l’entreprise. Les emails frauduleux imitent des fils de discussion internes concernant une tentative de modification de l’adresse email principale d’un compte, dans le but de susciter l’urgence chez la victime.

Ces messages incitent les utilisateurs à cliquer sur des liens tels que “signaler une activité suspecte” ou “révoquer l’appareil”. Ces liens redirigent vers de fausses pages de connexion LastPass hébergées sur des domaines frauduleux (par exemple, “verify-lastpass[.]com”) conçus pour dérober les identifiants de compte.

LastPass précise que son infrastructure n’a pas été compromise et que cette campagne n’a aucun impact sur ses systèmes.

Points Clés :

• Imitation du Support : Les emails utilisent le nom d’affichage “LastPass Support” pour masquer des adresses d’expéditeurs non liées.
• Stratégie de Fil de Discussion : Les messages sont présentés comme des conversations forwarded pour ajouter de la crédibilité.
• Objectif : Voler les identifiants de compte LastPass via de fausses pages de connexion.
• Absence de Compromission Interne : LastPass confirme que ses systèmes ne sont pas affectés.

Vulnérabilités :

Aucune vulnérabilité spécifique (CVE) n’est mentionnée dans l’article, la menace reposant sur l’ingénierie sociale et l’usurpation d’identité.

Recommandations :

• Méfiance envers les alertes : Soyez extrêmement prudent face aux emails prétendant signaler une activité suspecte sur votre compte.
• Vérification des liens : Survolez les liens dans les emails sans cliquer pour vérifier l’URL réelle. Les domaines légitimes de LastPass sont les seuls à faire confiance.
• Ne jamais partager le mot de passe maître : Le personnel de LastPass ne vous demandera jamais votre mot de passe maître.
• Signaler les communications suspectes : Transmettez tout email suspect à l’adresse abuse@lastpass.com.
• Contacter directement le support : En cas de doute, contactez LastPass directement via leurs canaux officiels, et non via les liens fournis dans les emails suspects.

Source