L’e-mail de phishing vous montre un avertissement indiquant que vous devez mettre à jour votre coffre-fort de mots de passe de toute urgence, mais tente en fait d’obtenir les clés du coffre-fort.
Les utilisateurs du gestionnaire de mots de passe LastPass ont tout intérêt à être particulièrement vigilants cette semaine. Depuis le 19 janvier, un e-mail de phishing circulerait, demandant aux utilisateurs de faire une sauvegarde de leur coffre-fort de mots de passe. L’e-mail proviendrait soi-disant de l’équipe de sécurité.
LastPass met en garde dans un blog contre cette campagne qui est activement en cours. Visuellement, l’e-mail ressemble à s’y méprendre à un e-mail authentique de LastPass. L’entreprise partage quelques conseils pour identifier un faux e-mail grâce au titre de la conception, à l’expéditeur ou aux URL jointes.
Maintenance
Dans l’e-mail, le destinataire est averti qu’une maintenance est prévue et qu’une sauvegarde doit donc être effectuée rapidement. Contrairement aux e-mails de phishing classiques, le ton est beaucoup moins menaçant. L’affirmation selon laquelle une sauvegarde garantit simplement aux utilisateurs de « continuer à avoir un accès ininterrompu aux identifiants de connexion » doit convaincre l’utilisateur naïf des bonnes intentions.
Le lien dans l’e-mail vous dirige vers une fausse page de connexion où vous devez saisir votre mot de passe principal. Si vous le faites, vous jetez ce mot de passe et les clés de votre coffre-fort aux loups. La fausse page serait à nouveau hors ligne, selon les chercheurs de LastPass.
Cible populaire
LastPass est loin d’être le seul gestionnaire de mots de passe à être imité par les cybercriminels. Récemment, ils se sont également fait passer pour Bitwarden et 1PassWord, entre autres. Ce n’est pas non plus une première pour LastPass lui-même. Lors d’une précédente campagne de phishing, les utilisateurs ont reçu de faux avis de décès. Les cybercriminels préfèrent toutefois se faire passer pour Microsoft, Google ou Amazon.
Les gestionnaires de mots de passe tels que LastPass contiennent des informations précieuses pour les cybercriminels. Les utilisateurs y enregistrent leurs biens numériques, des identifiants de connexion aux informations de carte de crédit. Les pirates n’ont donc besoin de craquer qu’un seul mot de passe pour accéder à toutes ces données et pouvoir en abuser. Heureusement, les outils sont généralement bien sécurisés et les intrusions réussies dans les gestionnaires de mots de passe sont plutôt rares, bien que LastPass ait prouvé le contraire il y a trois ans.