En ny phishingkampagne er målrettet mod kunder hos LastPass og Bitwarden. Angriberne bruger falske e-mails om sikkerhed og overholdelse af regler.
Beskederne hævder, at brugerne skal gennemgå opdaterede retningslinjer via en elektronisk dokumenttjeneste. Knapperne i e-mailene fører dog til falske hjemmesider, der efterligner legitime virksomhedsplatforme.
Derefter presser siderne de besøgende til at downloade filer fra usikre kilder. LastPass har bekræftet, at ingen fik adgang til virksomhedens infrastruktur. E-mailene kommer i stedet fra eksterne angribere.
Falske e-mails hævder, at sikkerhedsreglerne er ændret
Phishingbeskederne ligner officiel virksomhedskommunikation. De fortæller modtageren, at nye sikkerhedsregler eller administrative ændringer kræver øjeblikkelig gennemgang.
E-mailene, der efterligner LastPass, bruger emnelinjen “Action Required: Review Updated LastPass Security Policies”. Derefter opfordrer beskeden modtageren til at åbne et link og læse et påstået dokument.
Angriberne bruger en lignende metode mod Bitwarden-kunder. De udskifter varemærket, men bevarer det samme pres og den samme viderestillingsproces.
Ved at præsentere anmodningen som en almindelig rutine håber de kriminelle, at brugerne klikker uden at kontrollere afsenderen grundigt.
Angriberne bruger domæner, der ligner de ægte
De falske LastPass-e-mails kommer fra:
hello@lastpassnewsletter[.]com
Bitwarden-versionen bruger samtidig:
hello@bitwardennewsletter[.]com
Ingen af adresserne tilhører den virksomhed, som afsenderen hævder at repræsentere.
Domænet i LastPass-e-mailene blev registreret den 13. juli 2026. Den nylige registrering er et tydeligt advarselstegn, især fordi afsenderen påstår at repræsentere en etableret virksomhed.
Angribere placerer ofte et kendt varemærke i et længere domæne. Ved første øjekast kan adressen virke ægte. Det faktiske domæne har dog ingen forbindelse til den tjeneste, som de kriminelle efterligner.
Brugere bør altid undersøge hele afsenderadressen. De bør ikke kun stole på det viste afsendernavn.
Links åbner falske hjemmesider
E-mailene sender brugerne til følgende falske domæner:
lastpasscompliance[.]com
bitwardencompliance[.]com
Hjemmesiderne kopierer udseendet fra legitime tjenester. De efterligner også DocuSign, som er en udbredt platform til elektroniske dokumenter og underskrifter.
Når offeret åbner den falske side, får personen besked om, at en computerapp er nødvendig for at læse eller underskrive dokumentet. Siden tilbyder derefter filer til Windows og macOS.
Sikkerhedstjenester har klassificeret downloadstedet som skadeligt. Derfor bør brugere ikke åbne eller installere filer fra disse sider.
Den præcise malware kan variere. Downloads kan dog installere informationstyve, værktøjer til fjernadgang eller anden malware.
Hovedadgangskoder er værdifulde mål
Et phishingangreb mod adgangskodeadministratorer kan forårsage stor skade. En enkelt stjålet konto kan give adgang til mange andre tjenester.
Adgangskodebokse kan indeholde loginoplysninger, betalingsoplysninger og sikre noter. De kan også gemme gendannelsesoplysninger og andre følsomme data. Nogle brugere opbevarer desuden godkendelseskoder eller identitetsdokumenter i deres bokse.
Hvis de kriminelle får fat i hovedadgangskoden, kan de forsøge at åbne hele boksen. Derefter kan de bruge de gemte oplysninger til at få adgang til e-mailkonti, finansielle tjenester, sociale medier og arbejdspladssystemer.
Den aktuelle kampagne tyder dog ikke på et systemindbrud hos LastPass eller Bitwarden. Angriberne målretter i stedet brugerne direkte gennem social manipulation.
Falsk DocuSign-side spreder skadelige filer
Den falske DocuSign-grænseflade gør angrebet mere troværdigt. Mange virksomheder sender regelmæssigt aftaler, retningslinjer og andre dokumenter gennem elektroniske underskriftstjenester.
Derfor reagerer brugerne måske ikke på en e-mail, der beder dem gennemgå et dokument.
En ægte opdatering af retningslinjer bør dog ikke kræve installation af et ukendt computerprogram fra et uvedkommende domæne. En sådan anmodning er et af kampagnens tydeligste advarselstegn.
Brugere bør åbne deres adgangskodeadministrator via den installerede app, et gemt bogmærke eller en officiel adresse, som de indtaster manuelt. De bør aldrig bruge et link i en uventet sikkerhedsmeddelelse.
Dette bør berørte brugere gøre
Alle, der modtager en af beskederne, bør slette den uden at åbne links eller downloade filer.
Brugere, som besøgte den falske hjemmeside, men ikke indtastede oplysninger eller installerede noget, bør lukke siden. De bør også slette eventuelle downloadede filer uden at åbne dem.
Alle, der indtastede deres hovedadgangskode, bør straks ændre den fra en pålidelig enhed. Den nye adgangskode skal være unik og bør ikke bruges på andre konti.
Berørte brugere bør også:
- Gennemgå boksen for uventede ændringer
- Kontrollere kontoens loginhistorik
- Logge ukendte sessioner ud
- Aktivere multifaktorgodkendelse
- Ændre vigtige adgangskoder, som er gemt i boksen
- Scanne enheden for malware
- Overvåge e-mail- og bankkonti for mistænkelig aktivitet
Hvis brugeren åbnede en skadelig fil, bør enheden straks afbrydes fra netværket. Derefter bør personen gennemføre en fuld sikkerhedsscanning. Virksomhedsbrugere bør straks kontakte deres IT- eller sikkerhedsafdeling.
Kontrollér sikkerhedsbeskeder gennem en anden kanal
Angribere bruger ofte tidspres som et virkemiddel. De hævder, at brugeren skal handle hurtigt for at undgå lukkede konti, sikkerhedsproblemer eller sanktioner.
I stedet for at følge linket i e-mailen bør brugeren åbne den relevante tjeneste på egen hånd. En ægte advarsel bør også blive vist på den officielle konto eller i appen.
Et kendt logo, et professionelt design eller et symbol for en sikker forbindelse beviser ikke, at siden er ægte. Angribere kan kopiere visuelle elementer og skaffe HTTPS-certifikater til falske domæner.
Den seneste phishingkampagne mod adgangskodeadministratorer viser, hvorfor domænenavnet er en af de vigtigste kontroller. Et enkelt ukendt ord ved siden af et kendt varemærke kan føre brugeren til en helt uvedkommende og farlig hjemmeside.
0 svar til “Phishing er målrettet mod brugere af LastPass og Bitwarden”