En ny phishingkampanje retter seg mot kunder hos LastPass og Bitwarden. Angriperne bruker falske e-poster om sikkerhet og etterlevelse av regler.
Meldingene hevder at brukerne må gjennomgå oppdaterte retningslinjer via en elektronisk dokumenttjeneste. Knappene i e-postene leder imidlertid til falske nettsteder som etterligner legitime bedriftsplattformer.
Deretter presser sidene besøkende til å laste ned filer fra usikre kilder. LastPass har bekreftet at ingen fikk tilgang til selskapets infrastruktur. E-postene kommer i stedet fra eksterne angripere.
Falske e-poster hevder at sikkerhetsreglene er endret
Phishingmeldingene ligner offisiell bedriftskommunikasjon. De forteller mottakeren at nye sikkerhetsregler eller administrative endringer krever umiddelbar gjennomgang.
E-postene som etterligner LastPass, bruker emnelinjen «Action Required: Review Updated LastPass Security Policies». Deretter oppfordrer meldingen mottakeren til å åpne en lenke og lese et påstått dokument.
Angriperne bruker en lignende metode mot Bitwarden-kunder. De bytter ut merkevaren, men beholder det samme presset og den samme omdirigeringsprosessen.
Ved å presentere forespørselen som en vanlig rutine håper de kriminelle at brukerne klikker uten å kontrollere avsenderen nøye.
Angriperne bruker etterlignende avsenderdomener
De falske LastPass-e-postene kommer fra:
hello@lastpassnewsletter[.]com
Bitwarden-versjonen bruker samtidig:
hello@bitwardennewsletter[.]com
Ingen av adressene tilhører selskapet som avsenderen hevder å representere.
Domenet i LastPass-e-postene ble registrert 13. juli 2026. Den nylige registreringen er et tydelig faresignal, særlig fordi avsenderen hevder å representere et etablert selskap.
Angripere plasserer ofte et kjent merkenavn i et lengre domene. Ved første øyekast kan adressen virke ekte. Det faktiske domenet har imidlertid ingen forbindelse til tjenesten som de kriminelle etterligner.
Brukere bør alltid undersøke hele avsenderadressen. De bør ikke bare stole på avsendernavnet som vises.
Lenkene åpner falske nettsteder
E-postene sender brukerne til følgende falske domener:
lastpasscompliance[.]com
bitwardencompliance[.]com
Nettstedene kopierer utseendet til legitime tjenester. De etterligner også DocuSign, som er en vanlig plattform for elektroniske dokumenter og signaturer.
Når offeret åpner den falske siden, får personen beskjed om at en skrivebordsapp er nødvendig for å lese eller signere dokumentet. Siden tilbyr deretter filer for Windows og macOS.
Sikkerhetstjenester har klassifisert nedlastingsstedet som skadelig. Derfor bør brukere ikke åpne eller installere filer fra disse sidene.
Den nøyaktige skadevaren kan variere. Nedlastingene kan imidlertid installere informasjonstyver, verktøy for ekstern tilgang eller annen skadevare.
Hovedpassord er verdifulle mål
Et phishingangrep mot passordbehandlere kan forårsake stor skade. Én stjålet konto kan gi tilgang til mange andre tjenester.
Passordhvelv kan inneholde innloggingsdetaljer, betalingsinformasjon og sikre notater. De kan også lagre gjenopprettingsinformasjon og andre sensitive data. Noen brukere oppbevarer dessuten autentiseringskoder eller identitetsdokumenter i hvelvene sine.
Hvis de kriminelle får tak i hovedpassordet, kan de forsøke å åpne hele hvelvet. Deretter kan de bruke de lagrede opplysningene til å få tilgang til e-postkontoer, finansielle tjenester, sosiale medier og systemer på arbeidsplassen.
Den aktuelle kampanjen tyder imidlertid ikke på et systeminnbrudd hos LastPass eller Bitwarden. Angriperne retter seg i stedet direkte mot brukerne gjennom sosial manipulering.
Falsk DocuSign-side sprer skadelige filer
Det falske DocuSign-grensesnittet gjør angrepet mer troverdig. Mange bedrifter sender regelmessig avtaler, retningslinjer og andre dokumenter gjennom elektroniske signeringstjenester.
Derfor reagerer kanskje ikke brukere på en e-post som ber dem gjennomgå et dokument.
En ekte oppdatering av retningslinjer skal imidlertid ikke kreve installasjon av et ukjent dataprogram fra et urelatert domene. En slik forespørsel er et av kampanjens tydeligste faresignaler.
Brukere bør åpne passordbehandleren via den installerte appen, et lagret bokmerke eller en offisiell adresse de skriver inn manuelt. De bør aldri bruke en lenke i en uventet sikkerhetsmelding.
Dette bør berørte brukere gjøre
Alle som mottar en av meldingene, bør slette den uten å åpne lenkene eller laste ned filer.
Brukere som besøkte det falske nettstedet, men ikke skrev inn opplysninger eller installerte noe, bør lukke siden. De bør også slette eventuelle nedlastede filer uten å åpne dem.
Alle som skrev inn hovedpassordet sitt, bør umiddelbart endre det fra en pålitelig enhet. Det nye passordet må være unikt og bør ikke brukes på andre kontoer.
Berørte brukere bør også:
- Undersøke hvelvet for uventede endringer
- Kontrollere kontoens innloggingshistorikk
- Logge ut ukjente økter
- Aktivere flerfaktorautentisering
- Endre viktige passord som er lagret i hvelvet
- Skann enheten for skadevare
- Overvåke e-post- og bankkontoer for mistenkelig aktivitet
Hvis brukeren åpnet en skadelig fil, bør enheten umiddelbart kobles fra nettverket. Deretter bør personen gjennomføre en fullstendig sikkerhetsskanning. Bedriftsbrukere bør straks kontakte IT- eller sikkerhetsavdelingen.
Kontroller sikkerhetsmeldinger gjennom en annen kanal
Angripere bruker ofte tidspress som virkemiddel. De hevder at brukeren må handle raskt for å unngå stengte kontoer, sikkerhetsproblemer eller sanksjoner.
I stedet for å følge lenken i e-posten bør brukeren åpne den aktuelle tjenesten på egen hånd. En ekte advarsel bør også vises i den offisielle kontoen eller appen.
En kjent logo, profesjonell design eller et symbol for sikker tilkobling beviser ikke at siden er ekte. Angripere kan kopiere visuelle elementer og skaffe HTTPS-sertifikater til falske domener.
Den nyeste phishingkampanjen mot passordbehandlere viser hvorfor domenenavnet er en av de viktigste kontrollene. Ett ukjent ord ved siden av et kjent merkenavn kan lede brukeren til et helt urelatert og farlig nettsted.
0 responses to “Nettfiske retter seg mot brukere av LastPass og Bitwarden”