Se utilizas o LastPass para guardar as tuas credenciais, é altura de redobrares a atenção. A conhecida plataforma de gestão de segurança está a alertar os seus utilizadores para uma nova e sofisticada campanha de phishing que tem como objetivo roubar o acesso aos cofres digitais. Os piratas informáticos estão a enviar mensagens de correio eletrónico fraudulentas que simulam alertas de acesso não autorizado à conta.
O esquema para roubar os teus dados
Os atacantes desenvolveram uma estratégia bastante engenhosa. As mensagens falsificam o nome do remetente para parecerem vir da equipa de suporte do LastPass. O assunto do email é criado de forma a imitar uma conversa interna reencaminhada entre os atacantes e o verdadeiro suporte ao cliente, mencionando um suposto pedido para alterar o endereço de email principal da conta.
Ao receber esta falsa cadeia de mensagens, a vítima é levada a agir com urgência devido à suposta atividade suspeita. O email inclui botões apelativos com indicações como "reportar atividade suspeita", "desconectar e bloquear cofre" ou "revogar dispositivo". Quando o utilizador clica, é imediatamente redirecionado para uma página de início de sessão falsa, concebida especificamente para capturar os dados de acesso introduzidos.
Infraestrutura segura e histórico de ameaças
A equipa de inteligência e mitigação de ameaças da empresa informou que, além deste domínio principal, os piratas utilizam outros endereços ligeiramente modificados que vão dar à mesma página maliciosa. Para tentar dificultar o rastreio e aumentar a credibilidade do golpe, a campanha recorre a múltiplos endereços de envio e assuntos diferentes, muitas vezes gerados a partir de sites comprometidos ou domínios abandonados, escondidos atrás do nome LastPass Support.
Apesar do susto, a empresa garantiu que a sua própria infraestrutura não foi comprometida e que os seus sistemas continuam intactos. O LastPass relembra ainda uma regra de ouro: os seus agentes de suporte nunca pedem a palavra-passe principal, e esta nunca deve ser partilhada com ninguém. A marca já está a trabalhar com parceiros externos para eliminar os sites falsos o mais rapidamente possível e pede a quem receba estas comunicações para as reportar através do email abuse@lastpass.com.
Infelizmente, a popularidade da plataforma torna-a um alvo frequente. Ainda em janeiro deste ano, a empresa alertou para falsas notificações de manutenção que exigiam uma cópia de segurança urgente em 24 horas. No final de 2025, o serviço já tinha enfrentado vagas de esquemas que envolviam falsas alegações de morte de utilizadores e avisos forjados de que a empresa tinha sido atacada, tentando levar as pessoas a descarregar versões maliciosas da aplicação.
Nenhum comentário
Seja o primeiro!