Mensagens anteriores

Se é utilizador do LastPass, possivelmente está habituado a receber emails de tempos a tempos da empresa. No entanto, deve sempre ter muita atenção aos links que carrega e aos emails que recebe.

Recentemente uma nova campanha de phishing começou a ser propagada pela internet, que pretende enganar os utilizadores do serviço LastPass. O ataque começa quando os utilizadores recebem um email aparentemente legitimo da LastPass, a informar que a sua conta terá sido acedida por terceiros e que, para garantir a segurança, deverá ser feita a atualização da senha.

Quando os utilizadores acedem ao link que se encontra no email, são redirecionados para um site de login totalmente idêntico ao do LastPass – mas que na realidade é usado para roubar os dados de login nas contas dos utilizadores.

O mais curioso desta campanha de phishing encontra-se no facto que os domínios que o utilizador visita estão totalmente funcionais. Ou seja, é possível criar uma nova conta de utilizador tal como se isso estivesse a ser realizado no site legitimo da LastPass – incluindo a receção de um email aparentemente legitimo da LastPass a informar da criação da conta e acesso de locais desconhecidos.

A única falha que os utilizadores podem verificar encontra-se quando se tenta realizar o login nas contas, que mesmo com várias tentativas nunca permitem a entrada.

Torna-se ainda mais complicado de encontrar o esquema quando o próprio domínio é bastante similar ao site da Lastpass. Atualmente o TugaTech verificou que o esquema encontra-se a propagar sobre dois domínios diferentes:

Como se pode verificar, estes domínios podem facilmente enganar até mesmo os utilizadores mais atentos, levando a crer que são efetivamente da empresa, quando na realidade não o são.

No momento em que o TugaTech verificou o esquema, os domínios ainda se encontravam ativos, mas com falhas constantes de acesso.

Como sempre, é importante que tenha atenção aos locais onde introduz os seus dados de login, sobretudo quando estes dizem respeito a plataformas onde se gere muitas das suas senhas para outros conteúdos online. Além disso, ative sempre que possível métodos adicionais de segurança, como a autenticação em duas etapas.