Eine neue Phishing-Kampagne richtet sich mit gefälschten Sicherheits- und Compliance-E-Mails an Kunden von LastPass und Bitwarden.
Die Nachrichten behaupten, dass Nutzer aktualisierte Richtlinien über einen elektronischen Dokumentendienst prüfen müssen. Die enthaltenen Schaltflächen führen jedoch zu betrügerischen Webseiten, die seriöse Unternehmensplattformen imitieren.
Anschließend setzen die Seiten ihre Besucher unter Druck, Dateien aus nicht vertrauenswürdigen Quellen herunterzuladen. LastPass hat bestätigt, dass kein Angriff auf die Infrastruktur des Unternehmens stattgefunden hat. Die E-Mails stammen stattdessen von externen Angreifern.
Gefälschte E-Mails behaupten, die Sicherheitsrichtlinien hätten sich geändert
Die Phishing-Nachrichten ähneln offiziellen Mitteilungen eines Unternehmens. Sie teilen den Empfängern mit, dass neue Sicherheitsrichtlinien oder administrative Änderungen eine sofortige Überprüfung erfordern.
Die E-Mails, die LastPass imitieren, verwenden den Betreff „Action Required: Review Updated LastPass Security Policies“. Anschließend fordert die Nachricht den Empfänger auf, einen Link zu öffnen und ein angebliches Dokument zu lesen.
Die Angreifer nutzen eine ähnliche Methode gegen Kunden von Bitwarden. Sie tauschen lediglich den Markennamen aus, behalten jedoch den Druck und den Weiterleitungsprozess bei.
Indem die Kriminellen ihre Aufforderung als routinemäßige Compliance-Aufgabe darstellen, hoffen sie auf unbedachte Klicks. Nutzer sollen den Absender nicht genauer kontrollieren.
Angreifer nutzen täuschend ähnliche Absenderdomains
Die gefälschten LastPass-E-Mails stammen von:
hello@lastpassnewsletter[.]com
Die Bitwarden-Version verwendet hingegen:
hello@bitwardennewsletter[.]com
Keine der Adressen gehört zu dem Unternehmen, das der Absender angeblich vertritt.
Die Domain der LastPass-E-Mails wurde am 13. Juli 2026 registriert. Das neue Registrierungsdatum ist ein deutliches Warnsignal. Schließlich behauptet der Absender, ein bereits lange bestehendes Unternehmen zu repräsentieren.
Angreifer fügen einen bekannten Markennamen häufig in eine längere Domain ein. Auf den ersten Blick kann die Adresse deshalb authentisch wirken. Tatsächlich hat die Domain jedoch keine Verbindung zu dem imitierten Dienst.
Nutzer sollten immer die vollständige Absenderadresse prüfen. Sie sollten sich nicht allein auf den angezeigten Absendernamen verlassen.
Links öffnen gefälschte Compliance-Webseiten
Die E-Mails leiten Nutzer zu folgenden betrügerischen Domains:
lastpasscompliance[.]com
bitwardencompliance[.]com
Die Webseiten kopieren das Erscheinungsbild seriöser Dienste. Zudem imitieren sie DocuSign, eine weitverbreitete Plattform für elektronische Dokumente und Unterschriften.
Nach dem Öffnen der gefälschten Seite erfahren die Opfer, dass sie zum Lesen oder Unterzeichnen des Dokuments eine Desktop-Anwendung benötigen. Anschließend bietet die Webseite Dateien für Windows und macOS an.
Sicherheitsdienste haben den Download-Standort als schädlich eingestuft. Nutzer sollten deshalb keine Dateien von diesen Seiten öffnen oder installieren.
Die genaue Schadsoftware kann variieren. Die Downloads können jedoch Informationsdiebe, Fernzugriffswerkzeuge oder andere Malware installieren.
Master-Passwörter sind wertvolle Ziele
Ein Phishing-Angriff auf Passwortmanager kann großen Schaden verursachen. Ein einziges gestohlenes Konto kann den Zugriff auf viele weitere Dienste ermöglichen.
Passworttresore können Anmeldedaten, Zahlungsinformationen und geschützte Notizen enthalten. Darin befinden sich möglicherweise auch Wiederherstellungsdaten und andere sensible Informationen. Einige Nutzer speichern zudem Authentifizierungscodes oder Identitätsdokumente in ihren Tresoren.
Gelangen die Kriminellen an das Master-Passwort, können sie versuchen, den gesamten Tresor zu öffnen. Anschließend können sie die gespeicherten Daten für E-Mail-Konten, Finanzdienste, soziale Medien und Arbeitsplatzsysteme verwenden.
Die aktuelle Kampagne deutet jedoch nicht auf einen Systemeinbruch bei LastPass oder Bitwarden hin. Stattdessen greifen die Kriminellen die Nutzer direkt durch Social Engineering an.
Gefälschte DocuSign-Seite verbreitet schädliche Downloads
Die gefälschte DocuSign-Oberfläche erhöht die Glaubwürdigkeit des Angriffs. Viele Unternehmen versenden regelmäßig Richtlinien, Verträge und Compliance-Dokumente über elektronische Signaturdienste.
Daher hinterfragen Nutzer eine Nachricht zur Überprüfung eines Dokuments möglicherweise nicht.
Eine echte Aktualisierung von Richtlinien sollte jedoch keine Installation eines unbekannten Desktop-Programms von einer fremden Domain verlangen. Diese Aufforderung gehört zu den deutlichsten Warnsignalen der Kampagne.
Nutzer sollten ihren Passwortmanager über die installierte Anwendung, ein gespeichertes Lesezeichen oder eine manuell eingegebene offizielle Adresse öffnen. Sie sollten niemals einen Link in einer unerwarteten Sicherheits-E-Mail verwenden.
So sollten betroffene Nutzer reagieren
Wer eine solche Nachricht erhält, sollte sie löschen, ohne die Links zu öffnen oder Dateien herunterzuladen.
Nutzer, die die gefälschte Webseite besucht, aber keine Informationen eingegeben oder Dateien installiert haben, sollten die Seite schließen. Heruntergeladene Dateien sollten sie ungeöffnet löschen.
Wer sein Master-Passwort eingegeben hat, sollte es sofort über ein vertrauenswürdiges Gerät ändern. Das neue Passwort muss einzigartig sein und darf nicht für andere Konten zum Einsatz kommen.
Betroffene Nutzer sollten außerdem:
- Den Passworttresor auf unerwartete Änderungen überprüfen
- Den Anmeldeverlauf des Kontos kontrollieren
- Unbekannte Sitzungen abmelden
- Eine Mehrfaktor-Authentifizierung aktivieren
- Wichtige Passwörter aus dem Tresor ändern
- Das Gerät auf Schadsoftware untersuchen
- E-Mail- und Bankkonten auf verdächtige Aktivitäten überwachen
Nach dem Öffnen einer schädlichen Datei sollten Nutzer das Gerät sofort vom Netzwerk trennen. Anschließend sollten sie eine vollständige Sicherheitsprüfung durchführen. Beschäftigte in Unternehmen sollten unverzüglich ihre IT- oder Sicherheitsabteilung kontaktieren.
Sicherheitsnachrichten über einen anderen Weg überprüfen
Angreifer nutzen häufig Zeitdruck als Phishing-Methode. Sie behaupten, dass Nutzer schnell handeln müssen, um Kontosperrungen, Sicherheitsprobleme oder Sanktionen zu vermeiden.
Statt einem E-Mail-Link zu folgen, sollten Nutzer den betreffenden Dienst selbstständig öffnen. Eine echte Warnung sollte auch im offiziellen Konto oder in der Anwendung erscheinen.
Ein bekanntes Logo, ein professionelles Design oder ein Symbol für eine sichere Verbindung beweist nicht die Echtheit einer Seite. Angreifer können visuelle Elemente kopieren und HTTPS-Zertifikate für betrügerische Domains erhalten.
Die aktuelle Phishing-Kampagne gegen Passwortmanager zeigt, warum die Domain zu den wichtigsten Prüfpunkten gehört. Ein einziges unbekanntes Wort neben einem vertrauenswürdigen Markennamen kann Nutzer auf eine vollkommen fremde und gefährliche Webseite führen.
0 Kommentare zu „Phishing zielt auf Nutzer von LastPass und Bitwarden ab“