Fałszywy e-mail LastPass Support: phishing na hasło główne

Fałszywy e-mail LastPass Support był elementem kampanii, którą LastPass opisał 3 marca 2026 r. i której początek datuje na około 1 marca. Wiadomości trafiały do użytkowników LastPass i udawały przekazane wątki o nieautoryzowanej zmianie na koncie. Jeśli dostałeś taki mail, nie używaj linków z wiadomości: otwórz LastPass samodzielnie przez zapisany adres lub aplikację, a podejrzany e-mail prześlij jako załącznik na abuse@lastpass.com.

Jak wyglądał fałszywy e-mail LastPass Support

LastPass opisał tematy wiadomości takie jak „Re: pending approval”, „Re: Access request pending” i „Fwd: Re: your request”. W środku atakujący budowali pozorny łańcuch korespondencji o eksporcie sejfu, odzyskiwaniu konta albo dodaniu nowego zaufanego urządzenia. Przyciski miały uspokajające nazwy, m.in. „report suspicious activity”, „disconnect and lock vault” oraz „revoke device”.

Kliknięcie prowadziło do fałszywej strony logowania. Główną domeną wskazaną przez LastPass było verify-lastpass[.]com, także w wariantach z dodatkowymi znakami w adresie.

Co zdradza tę kampanię

Najważniejsze sygnały są konkretne:

• nazwa wyświetlana nadawcy sugeruje LastPass Support, ale pełny adres e-mail należy do zupełnie innej domeny;
• wiadomość wygląda jak przekazany wewnętrzny wątek i wywołuje presję rzekomą zmianą na koncie;
• link prowadzi poza domeny LastPass do strony imitującej logowanie;
• strona próbuje skłonić użytkownika do podania hasła głównego; LastPass ostrzega, że żadna osoba z LastPass nigdy nie poprosi użytkownika o to hasło.

Podobny moment przejścia od wiarygodnego pretekstu do fałszywej strony logowania widać w kampanii SMS „Verify” podszywającej się pod OLX.

Co zrobić, jeśli tylko dostałeś wiadomość

Nie klikaj przycisków ani linków. Zachowaj wiadomość i prześlij ją jako załącznik na abuse@lastpass.com, aby LastPass mógł ją zweryfikować. Podejrzaną stronę lub wiadomość e-mail możesz też zgłosić do CERT Polska przez incydent.cert.pl.

Jeśli chcesz sprawdzić konto, uruchom aplikację LastPass lub samodzielnie wpisz adres lastpass.com w przeglądarce. Nie przechodź do konta z linku w podejrzanym mailu.

Co zrobić po kliknięciu lub wpisaniu danych

Po kliknięciu linku z fałszywego wątku LastPass zamknij stronę, jeśli nie podałeś hasła głównego, i nie otwieraj jej ponownie z tej wiadomości. Jeżeli podałeś hasło główne na fałszywej stronie, wejdź do LastPass samodzielnie z zaufanego urządzenia i natychmiast zmień hasło główne. Następnie sprawdź aktywne sesje, wyloguj nieznane sesje oraz włącz uwierzytelnianie wieloskładnikowe, jeśli nie było aktywne.

Jeśli to konto firmowe, przekaż informację administratorowi LastPass albo zespołowi bezpieczeństwa w swojej organizacji, żeby mogli sprawdzić dostęp do konta i działania wykonane po ujawnieniu hasła.

Czego nie robić

Nie odpowiadaj nadawcy, nie używaj przycisku „anuluj”, „zablokuj” ani „zgłoś”, jeśli prowadzi z tej wiadomości do strony logowania. Nie wpisuj hasła głównego na stronie otwartej z e-maila i nie zakładaj, że nazwa „LastPass Support” potwierdza nadawcę.

To klasyczny phishing: napastnik podszywa się pod zaufaną usługę i prowadzi ofiarę do fałszywego logowania, aby przejąć dane dostępu. W tej kampanii dodatkową wiarygodność tworzył spreparowany wątek pomocy technicznej.