LastPass y Bitwarden son dos de los administradores de contraseñas más populares y esto hace que muchos usuarios puedan ser víctimas de falsas alertas de seguridad. Se trata de una campaña en la que utilizan la imagen de estas dos marcas para engañar a los usuarios a través de un ataque de phishing. Parece legítimo, pero realmente es un fraude.
Alertas falsas de LastPass y Bitwarden
Desde Bleeping Computer han tenido acceso a los correos enviados por parte de LastPass y Bitwarden para alertar de este problema. Lo que hacen los atacantes es enviar un correo electrónico haciéndose pasar por una comunicación legítima. Ahí notifican sobre supuestas actualizaciones de políticas de seguridad y se dirigen a una página que suplanta la identidad de DocuSign.
Hay que mencionar que los sistemas de LastPass no han sido atacados en ningún momento. Tampoco los de Bitwarden. Los correos electrónicos falsos no se originan en la infraestructura de estas empresas, sino que los atacantes van a utilizar la imagen de estos servicios para dar apariencia de legitimidad.
En el caso de LastPass, los correos llegan desde una dirección llamada hello@lastpassnewsletter.com. Según explican, “notifican al usuario sobre supuestos cambios en las políticas de servicio de LastPass, incluyendo una monitorización SaaS mejorada, opciones de restablecimiento de contraseña maestra para administradores y mejoras en la consola de administración”.
El guion de los ciberdelincuentes es el siguiente:
- Enviar el e-mail.
- Esperar que la víctima entre en el sitio de DocuSign.
Algo similar ocurre en usuarios de Bitwarden, los cuales reciben un e-mail desde hello@bitwardennewsletter.com.
El pasado mes de enero, los usuarios de LastPass ya fueron víctimas de algo parecido. Enviaban correos falsos suplantando a la marca, con el único objetivo de robar contraseñas y comprometer las cuentas de los usuarios.
Cómo protegerte
En la web de LastPass ofrecen una guía para evitar suplantaciones de identidad. Allí recomiendan una serie de buenas prácticas, como son las siguientes:
- No revelar nunca a nadie la contraseña maestra.
- Utilizar siempre un buen antivirus.
- No hacer clic en enlaces no solicitados.
- Revisar siempre quién es el remitente.
- Evitar usar equipos o redes que no sean de confianza.
Para reconocer si un correo es falso o no, puedes seguir estas recomendaciones:
- Revisa la dirección del e-mail.
- Comprueba si las URL llevan a la web oficial.
- Analiza el aspecto general del mensaje.
- Mira si lleva archivos adjuntos sospechosos.
Ten en cuenta que se trata de una campaña maliciosa que utiliza la imagen de LastPass y Bitwarden, pero es algo que podría ocurrir con otros servicios también. Es importante siempre estar alerta y no dar facilidades a los piratas informáticos, ya sea a la hora de usar redes sociales, plataformas de streaming o cualquier servicio que pudieran utilizar.
En definitiva, asegúrate de no acceder a enlaces que te lleguen de correos fraudulentos de LastPass y Bitwarden si utilizas alguno de estos servicios. Se trata de un ataque de phishing y el objetivo que tienen es robar contraseñas y tomar el control de tus cuentas. El sentido común va a ser fundamental en estos casos.