バックアップの依頼は実はフィッシングキャンペーンだとLastPassが警告

LastPassは火曜日、同社がメンテナンスを実施しているという虚偽の主張をし、24時間以内に保管庫（ボルト）をバックアップするよう顧客に求めるフィッシングキャンペーンについて警告した。同社が公開したアラートによると。

LastPassによれば、このキャンペーンは、多くの米国企業が休業していたマーティン・ルーサー・キング・ジュニア・デーに当たる月曜日ごろに始まった。同社は、このメールは正当な依頼ではないことを強調し、顧客がソーシャルエンジニアリングのキャンペーンの標的になっていることを確認した。

「このキャンペーンは、偽の緊急性を作り出すことを狙ったもので、これはフィッシング攻撃で私たちが目にする最も一般的で効果的な手口の一つです」と、LastPassの広報担当者は声明で述べた。

同担当者はまた、LastPassが顧客にマスターパスワードを求めたり、厳しい期限の下で行動を要求したりすることは決してないと付け加えた。

LastPassのセキュリティアラートには、偽のバックアップ依頼の画像が含まれており、悪意のあるURL、ヘッダー情報、IPアドレス、偽の件名の詳細も提供している。

LastPassは、影響を受けた顧客数の詳細を明らかにしておらず、攻撃の背後に誰がいる可能性があるのかについても説明していない。広報担当者によると、複数のメールアドレスが顧客を標的にするために使用されたという。

同社は、できるだけ早くドメインを停止させるため、サードパーティのパートナーと協力していると述べた。

休暇週末にユーザーを狙うのは、休暇中の人員不足につけ込むことを目的とした一般的な手口であり、セキュリティチームが攻撃に対応する能力が遅れることが多い。

広く利用されているパスワードマネージャーであるLastPassは、企業および個人の顧客が安全な環境でパスワードを保護するのを支援している。

LastPassは以前、2022年の侵害を受けて社内のセキュリティ慣行を全面的に見直した。この侵害では、脅威アクターが同社のソースコードを標的にした。

その大規模な見直しの一環として、LastPassの親会社は新たな最高情報セキュリティ責任者（CISO）を迎え入れた。