Se non sei morto, clicca qui: la truffa che sta ingannando gli utenti LastPass

Se non sei morto, clicca qui: la truffa che sta ingannando gli utenti LastPass

Una nuova campagna di phishing colpisce gli utenti LastPass sfruttando falsi messaggi relativi alla loro morte e l'accesso al loro vault di password da parte di un famigliare per sottrarre credenziali e passkey.

di pubblicata il , alle 09:31 nel canale Sicurezza
LastPass
 

Un'estesa campagna di phishing sta colpendo gli utenti del gestore di password LastPass, sfruttando falsi messaggi relativi per indurre le vittime a consegnare le proprie credenziali. Secondo le analisi della società, dietro l'attacco si celerebbe il gruppo CryptoChameleon (UNC5356), già noto per operazioni di furto di criptovalute.

La campagna, avviata a metà ottobre 2025, prevede l'invio di email apparentemente provenienti dall'indirizzo ufficiale [email protected], con oggetto "Legacy Request Opened (URGENT IF YOU ARE NOT DECEASED)". Il messaggio segnala che un familiare avrebbe chiesto l'accesso al proprio vault LastPass tramite la procedura di emergenza, presentando un certificato di morte.

Per rendere la truffa più credibile, le email includono un ID, una data di apertura e un livello di priorità del caso - tutti dati inventati - e invitano l'utente a cliccare su un link per "annullare la richiesta". In realtà, il collegamento porta al dominio lastpassrecovery[.]com, un sito di phishing che replica l'interfaccia del servizio e invita la vittima a inserire la master password.

In alcuni casi, i criminali hanno anche contattato telefonicamente gli utenti, fingendosi operatori del supporto LastPass per convincerli a completare la procedura. Questa componente di ingegneria sociale attiva rappresenta un'evoluzione rispetto a precedenti campagne, come quella di aprile 2024, condotta dallo stesso gruppo.

CryptoChameleon è associato a numerosi domini fraudolenti legati a exchange di criptovalute e servizi cloud, tra cui versioni false di siti come Coinbase, Binance, Kraken, Gemini, Gmail e Google. L'infrastruttura malevola risulta ospitata da NICENIC, un provider già impiegato in attività simili.

Una novità significativa della campagna è il targeting diretto alle passkey, lo standard di autenticazione senza password basato sui protocolli FIDO2 e WebAuthn. Sono stati individuati domini come mypasskey[.]info e passkeysetup[.]com, utilizzati per intercettare i token di sicurezza associati ai gestori di password moderni, inclusi LastPass, 1Password, Dashlane e Bitwarden.

LastPass afferma di aver interrotto la diffusione iniziale del sito principale di phishing, collaborando con i provider di rete e segnalando gli indicatori di compromissione (IOC) alle autorità competenti. L'azienda invita gli utenti a non condividere mai la master password, a non cliccare su link sospetti e a segnalare messaggi o chiamate sospette all'indirizzo [email protected].

L'incidente evidenzia l'interesse crescente dei cybercriminali verso i sistemi di autenticazione avanzata e i gestori di password, soprattutto dopo la violazione del 2022, in cui un attacco a LastPass portò al furto di backup cifrati dei vault e a successivi episodi di furto di criptovalute stimati in circa 4,4 milioni di dollari.

I migliori sconti su Amazon oggi

AVM FRITZ!Repeater 1200 AX Edition International, Ripetitore - Wi-Fi 6 extender Dual Band con 2.400 Mbit/s (5 GHz) & 600 Mbit/s (2,4 GHz), Mesh, Access Point, 1x Gigabit LAN, Interfaccia in italiano

Compra ora

AMAZFIT Active 2 Smart Watch 44mm, AI, Controllo Vocale, GPS e Mappe incluse, Batteria da 10 Giorni, 160+ Modalità Sportive, Resistente allAcqua 5 ATM per Android e iPhone, Nero

Compra ora
3 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
euscar25 Ottobre 2025, 10:26 #1
Il modo più sicuro per conservare le password è ancora quello più vecchio: te le memorizzi e per quelle usate ogni tanto te le scrivi da qualche parte
jepessen25 Ottobre 2025, 10:47 #2
Originariamente inviato da: euscar
Il modo più sicuro per conservare le password è ancora quello più vecchio: te le memorizzi e per quelle usate ogni tanto te le scrivi da qualche parte


Il mio metodo sicuro l'ho trovato dopo anni... Keepass.

Un software portatile che ho fra i programmi sul WinPenPack della mia chiavetta USB che mi porto sempre dietro.

Uso una password decente per il suo database cifrato, e una volta sbloccato accedo a tutte le mie password, e ha un sacco di funzionalita', come generazione parametrica, completamento automatico dei form etc.

Inoltre faccio regolarmente una copia regolare su OneDrive, il che mi fa ritrovare il database anche sui miei pc windows e linux e sui miei telefonini, e data la natura open source ci sono programmi per usare il database anche da smartphone, anche se lo uso solo in caso di emergenza perche' non e' altrettanto comodo.

In genere quando creo oppure utilizzo una password viene memorizzata nel gestore password di Edge, quindi per le password dei siti in genere ho una doppia copia (ok, tripla, faccio backup giornaliero della chiavetta sul mio nas di casa, che l'attacco appena torno da lavoro), ma ho anche un sacco di password non legate a siti web (password ssh etc) e per quelle Keepass per me e' decisamente il massimo.
coschizza25 Ottobre 2025, 15:53 #3
Originariamente inviato da: jepessen
Il mio metodo sicuro l'ho trovato dopo anni... Keepass.

Un software portatile che ho fra i programmi sul WinPenPack della mia chiavetta USB che mi porto sempre dietro.

Uso una password decente per il suo database cifrato, e una volta sbloccato accedo a tutte le mie password, e ha un sacco di funzionalita', come generazione parametrica, completamento automatico dei form etc.

Inoltre faccio regolarmente una copia regolare su OneDrive, il che mi fa ritrovare il database anche sui miei pc windows e linux e sui miei telefonini, e data la natura open source ci sono programmi per usare il database anche da smartphone, anche se lo uso solo in caso di emergenza perche' non e' altrettanto comodo.

In genere quando creo oppure utilizzo una password viene memorizzata nel gestore password di Edge, quindi per le password dei siti in genere ho una doppia copia (ok, tripla, faccio backup giornaliero della chiavetta sul mio nas di casa, che l'attacco appena torno da lavoro), ma ho anche un sacco di password non legate a siti web (password ssh etc) e per quelle Keepass per me e' decisamente il massimo.


io faccio tutto uguale da ormai molti anni

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^