Adathalászok miatt riasztott a LastPass

A LastPass egy adathalász támadássorozat miatt adott ki figyelmeztetést.
 

A CryptoChameleon nevű adathalász eszközkészlet számos olyan megoldást biztosít a csalók számára, amik révén egyszerűbben tudnak - akár komplex - phishing támadásokat végrehajtani. A szoftver nem teljesen új keletű. Elsősorban akkor irányult rá a figyelem, amikor a felhasználásával idén februárban támadás indult az amerikai FCC (Federal Communications Commission) munkatársai ellen egy meghamisított Okta hitelesítő oldalon keresztül. 

A CryptoChameleon olyan ismert és elterjedt alkalmazások, illetve webes szolgáltatások kapcsán is bevethető, mint például a Binance, a Coinbase, a Kraken, a Gemini, a Gmail, az iCloud, az Outlook, a Twitter vagy a Yahoo. A legfrissebb verziója pedig már a LastPass felhasználók elleni adathalászatot is támogatja. Ezért a LastPass üzemeltetői már ki is adták a biztonsági figyelmeztetésüket.

A LastPass elmondása szerint a legújabb támadások az alábbi sémát követik:

• A felhasználó kap egy telefonhívást, amiben azt állítják, hogy gyanús bejelentkezési kísérlet történt a LastPass fiókjába, és az "1"-es vagy a "2"-es gomb megnyitásával engedélyezheti vagy blokkolhatja a hozzáférést.
• Amennyiben valamely gombot megnyomja, akkor nem sokkal később egy újabb hívást kap, amelyben egy magát LastPass alkalmazottnak kiadó személy siet a "segítségére". Küld egy e-mailt, amelyben egy link található, és közli, hogy arra kattintva orvosolható a biztonsági probléma.
• Amennyiben a felhasználó az e-mailben szereplő linkre rákattint, akkor egy hamis oldal jelenik meg a webböngészőjében.
• Ha ezen az oldalon megadja a mesterjelszavát, akkor az rögtön a csalók kezébe kerül.

A mostani adathalász támadások is arra hívják fel a figyelmet, hogy a jelszókezelő szolgáltatások esetében fokozottan kell ügyelni a csalók próbálkozásai miatt. Fontos, hogy sem a LastPass, sem egyéb ilyen jellegű szolgáltató soha nem kéri mesterjelszó megadását telefonon vagy e-mailen keresztül. A mesterjelszót kizárólag a hivatalos oldalon vagy alkalmazásban szabad megadni.