LastPass, passkey a rischio: phishing sfrutta l’emergency access

Mostra sommario Nascondi sommario

• Meccanica dell’attacco: come gli hacker ingannano gli utenti
• Perché le passkey possono essere prese di mira
• Indicatori di frode: come riconoscere il phishing contro LastPass
• Passi immediati per recuperare la sicurezza dell’account
  • Checklist rapida
• Cosa dice LastPass e cosa non farà mai
• Chi è CryptoChameleon e il suo modello operativo
• Linee guida per le aziende: difesa multilivello contro il phishing
• Consigli pratici per gli utenti quotidiani

Un allarme crescente scuote chi utilizza i gestori di password: una campagna di phishing avanzata prende di mira gli account LastPass, puntando non solo alla master password ma anche alle nuove passkey. Il gruppo dietro l’offensiva è noto come CryptoChameleon, e la tecnica sfrutta messaggi emotivi sull’“emergency access” e siti-clone persuasivi per ingannare le vittime.

Meccanica dell’attacco: come gli hacker ingannano gli utenti

La truffa combina tecniche di social engineering con pagine web contraffatte. I messaggi inviati sembrano notifiche ufficiali su un presunto accesso d’emergenza.

• Le email contengono richieste urgenti e link che rimandano a siti fasulli.
• I portali imitano l’interfaccia di LastPass per rubare credenziali.
• Alcune varianti includono chiamate telefoniche con operatori che fingono il supporto.
• Vengono usati domini creati per apparire legittimi, come mypasskey.info e passkeysetup.com.

Questi siti non servono solo a carpire la master password. Sono stati messi a punto anche per compromettere flussi di autenticazione basati su FIDO2 e WebAuthn.

Perché le passkey possono essere prese di mira

Le passkey hanno migliorato la sicurezza, ma non eliminano il rischio umano. Un sito fraudolento può convincere l’utente a completare procedure di configurazione fasulle.

• La tecnologia non protegge dallo spoofing dell’interfaccia.
• La pressione emotiva riduce la prudenza dell’utente.
• I criminali possono sincronizzare attacchi su più canali: email, telefono, pagine web.

Indicatori di frode: come riconoscere il phishing contro LastPass

Imparare a individuare i segnali aiuta a fermare un attacco prima che sia troppo tardi.

• Messaggi che chiedono la master password via email o telefono.
• Link che non corrispondono al dominio ufficiale di LastPass.
• Richieste urgenti legate a decesso, emergenze o accessi non programmati.
• Pagina di login che mostra elementi grafici strani o errori di ortografia.
• Chiamate non richieste che forniscono dettagli personali per guadagnare fiducia.

Passi immediati per recuperare la sicurezza dell’account

Se sospetti una compromissione, agisci rapidamente. Esegui questi interventi per ridurre il danno.

Checklist rapida

1. Cambia la master password da un dispositivo sicuro, digitando l’indirizzo ufficiale.
2. Revoca tutte le sessioni attive e disconnetti i dispositivi non riconosciuti.
3. Abilita o rafforza la multifactor authentication dove possibile.
4. Controlla e resetta le impostazioni di emergency access e i contatti di fiducia.
5. Segnala il sito o l’email sospetta al team di sicurezza di LastPass e alle autorità competenti.

Cosa dice LastPass e cosa non farà mai

LastPass ha chiarito che non richiederà mai la master password via email o telefono. Qualsiasi richiesta di questo tipo è da considerarsi sospetta.

• LastPass non telefona per chiedere l’accesso d’emergenza.
• Usa solo i canali ufficiali del servizio per azioni critiche.
• Contatta il supporto dal sito ufficiale se hai dubbi.

Chi è CryptoChameleon e il suo modello operativo

Il collettivo dietro la campagna ha già preso di mira exchange e portafogli di criptovalute. Il suo approccio combina kit di phishing modulari con dati raccolti su vittime specifiche.

• Replicano servizi come provider di autenticazione per rendere il trucco credibile.
• Sfruttano informazioni personali per rendere le chiamate più verosimili.
• Adattano rapidamente i loro strumenti alle nuove tecnologie.

Linee guida per le aziende: difesa multilivello contro il phishing

Le organizzazioni devono mettere in campo formazione, policy e controlli tecnici. L’obiettivo è ridurre l’esposizione al rischio umano.

• Programmi di awareness sul phishing e simulazioni regolari.
• Procedure rigorose per l’attivazione e la gestione dell’emergency access.
• Implementazione di monitoraggio e risposta agli incidenti.
• Limitare i privilegi e verificare ogni richiesta sensibile tramite canali separati.

Consigli pratici per gli utenti quotidiani

Alcune buone pratiche riducono sensibilmente la probabilità di cadere in trappola.

• Digita sempre manualmente l’indirizzo di LastPass nel browser.
• Non condividere mai la master password o codici di autenticazione.
• Verifica i certificati SSL e il dominio prima di inserire dati sensibili.
• Usa password forti e un gestore di password affidabile per gli account secondari.