El correo electrónico de LastPass «crear copia de seguridad» es una estafa de phishing que apunta a tu contraseña maestra

Los atacantes están abusando de alertas con temática de mantenimiento para robar contraseñas maestras de usuarios de LastPass.

Los gestores de contraseñas siguen siendo objetivos de primer nivel

Los gestores de contraseñas siguen en el punto de mira de los atacantes, en gran medida porque una sola intrusión exitosa puede desbloquear el acceso a decenas, o incluso cientos, de cuentas en línea. En una alerta reciente, LastPass advirtió a los usuarios sobre una campaña de phishing que intenta explotar esa realidad haciéndose pasar por un aviso urgente de mantenimiento.

Los correos electrónicos fraudulentos afirman que los usuarios deben tomar medidas inmediatas antes de trabajos programados del servicio. Se les dice a los destinatarios que necesitan hacer una copia de seguridad de sus bóvedas de contraseñas dentro de un ajustado plazo de 24 horas, una táctica de presión común diseñada para anular la cautela y provocar clics apresurados.

Cómo los correos de phishing crean urgencia

Según el aviso de la compañía, la campaña, que comenzó a circular alrededor del 19 de enero, utilizó múltiples direcciones de remitente y líneas de asunto, todas centradas en supuestas actividades de mantenimiento de LastPass. Esta es una técnica común para eludir filtros de correo electrónico y aumentar la probabilidad de llegar a las bandejas de entrada.

La empresa enfatizó que no está pidiendo a los usuarios que realicen copias de seguridad de emergencia de la bóveda y reiteró un principio básico de seguridad: las comunicaciones legítimas de LastPass nunca pedirán una contraseña maestra. Los correos están diseñados para infundir una sensación de urgencia, un sello distintivo de la ingeniería social, en lugar de reflejar cualquier situación crítica real.

A dónde conducen realmente los enlaces

Los correos incluyen un enlace destacado de «crear copia de seguridad» que parece legítimo a primera vista. Sin embargo, al hacer clic, envía a las víctimas a través de una cadena de dominios externos antes de aterrizar en una página de phishing diseñada para recolectar credenciales de inicio de sesión.

En lugar de respaldar nada, los usuarios que introducen su contraseña maestra corren el riesgo de exponer todo su tesoro de datos, incluidas credenciales de cuentas, detalles de pago y notas sensibles. Un nivel de acceso así podría ser utilizado inmediatamente para robo de identidad, toma de control de cuentas o fraude financiero.

El momento y la repetición podrían marcar un patrón

No es la primera vez que los usuarios de LastPass son atacados de esta manera. Solo semanas antes, una ola de phishing buscó engañar a los destinatarios para que confirmaran que seguían vivos. Este patrón recurrente podría señalar un interés sostenido por parte de los atacantes.

Cabe destacar que los últimos mensajes se enviaron durante un fin de semana festivo en EE. UU., un período en el que los informes internos y la respuesta pueden ser más lentos. LastPass dijo que está trabajando con socios para derribar la infraestructura maliciosa y ha compartido indicadores de compromiso para apoyar los esfuerzos defensivos y la caza de amenazas.

Cómo protegerte de las estafas de phishing dirigidas a gestores de contraseñas

Herramientas como Bitdefender Scamio pueden ayudar a los usuarios a evaluar rápidamente correos electrónicos, enlaces, mensajes, imágenes o códigos QR sospechosos analizando el contenido compartido en busca de indicadores comunes de estafa. En campañas basadas en la urgencia y la suplantación de marca, ese momento extra de verificación puede prevenir una compromisión irreversible de la cuenta.