В начале марта 2026 года специалисты службы LastPass Threat Intelligence, Mitigation, and Escalation (TIME, группа разведки угроз, предотвращения инцидентов и реагирования) зафиксировали целенаправленную фишинговую кампанию, нацеленную на пользователей популярного менеджера паролей. Злоумышленники рассылают поддельные письма от имени технической поддержки сервиса, чтобы обманом получить доступ к мастер-паролям и данным хранилищ пользователей. Этот инцидент наглядно демонстрирует, как киберпреступники эксплуатируют доверие к брендам средств кибербезопасности и используют изощрённые методы социальной инженерии, что представляет угрозу как для обычных пользователей, так и для корпоративных клиентов, полагающихся на подобные решения для защиты критичных учётных данных.
Описание
Атака построена на создании у жертвы ощущения срочности и потенциальной угрозы её аккаунту. Вместо примитивных писем с прямыми требованиями злоумышленники рассылают сфабрикованные цепочки переписки, которые выглядят как внутренние служебные сообщения LastPass. Эти письма якобы уведомляют пользователя о подозрительной активности в его аккаунте: попытке экспорта хранилища, восстановления полного доступа к учётной записи или регистрации нового доверенного устройства. Темы писем, например, «Re: Запрос на проверку восстановления аккаунта» или «Обнаружена попытка несанкционированного экспорта хранилища», призваны немедленно привлечь внимание и вызвать тревогу, что является классическим приёмом социальной инженерии.
Для усиления правдоподобности атаки применяется техника подмены отображаемого имени. В поле отправителя пользователь видит «LastPass Support», однако реальный адрес электронной почты принадлежит совершенно другому, не связанному с компанией домену. Поскольку многие почтовые клиенты, особенно на мобильных устройствах, по умолчанию показывают только имя отправителя, а не полный адрес, жертва может легко не заметить подмены. В тексте письма содержится призыв «защитить» или «верифицировать» аккаунт, перейдя по ссылке для отзыва устройства или проверки активности.
Эти ссылки ведут на фишинговые домены, такие как verify-lastpass[.]com, которые были активно зарегистрированы злоумышленниками. На подобных сайтах размещается точная копия официальной страницы входа в LastPass с использованием Single Sign-On (технология единого входа). Ничего не подозревающий пользователь, вводя свои учётные данные, включая мастер-пароль, напрямую передаёт их в руки злоумышленников. Получив доступ к хранилищу, преступники получают ключи ко всем паролям и чувствительным данным жертвы, что может привести к компрометации личных аккаунтов, корпоративных систем и серьёзным финансовым потерям.
В своём официальном предупреждении LastPass подчёркивает, что ни один сотрудник или представитель компании никогда не будет запрашивать мастер-пароль пользователя, и любые подобные запросы следует считать мошенническими. Компания активно сотрудничает с партнёрами и регистраторами доменов для оперативного вывода таких вредоносных сайтов из строя и благодарит бдительных пользователей, которые пересылают подозрительные письма на специальный адрес для обработки инцидентов abuse@lastpass.com. Для эффективного противодействия таким угрозам эксперты рекомендуют пользователям соблюдать несколько ключевых правил кибергигиены.
Прежде всего, необходимо всегда тщательно проверять полный адрес электронной почты отправителя, а не только отображаемое имя, особенно в письмах, требующих срочных действий. Категорически не следует переходить по ссылкам из подобных писем. Вместо этого нужно напрямую, вручную ввести адрес lastpass.com в браузере или открыть официальное приложение для доступа к аккаунту. Крайне важно активировать многофакторную аутентификацию (MFA) для дополнительной защиты, что даже в случае утечки пароля значительно усложнит злоумышленнику доступ. Любое подозрительное письмо с брендированием LastPass следует отправлять на проверку в abuse@lastpass.com.
Данная кампания служит очередным напоминанием о том, насколько реалистичными и изощрёнными стали современные фишинговые атаки. Менеджеры паролей, как централизованные хранилища критичных данных, остаются приоритетной мишенью для киберпреступников. Поэтому, помимо использования технических средств защиты, непрерывное повышение осведомлённости пользователей и выработка здорового скептицизма по отношению к любым, даже внешне легитимным, срочным уведомлениям о безопасности являются неотъемлемой частью стратегии защиты в современной цифровой среде.
Индикаторы компрометации
