Eine Phishing-Welle trifft Nutzer des Passwortmanagers LastPass. Kriminelle setzen auf gefälschte E-Mails und legen eine raffinierte Betrugsmasche an den Tag.
Dieses Mal ist es die Anwendung selbst, die davor warnt, dass es Phishing-Angriffe gibt. Der Passwortmanager LastPass gibt bekannt, dass aktuell Betrüger versuchen, die Zugriffsfunktion für den Notfall zu missbrauchen. Sie gaukeln vor, dass eine Person eine Sterbeurkunde übermittelt habe. Damit versuchen sie, an die Daten der Person zu gelangen. Denn jeder User, der bei LastPass angemeldet ist, kann sogenannte Notfallzugriffe hinterlegen, falls ihm etwas zustößt. Was also eigentlich als Sicherheitsfunktion gedacht ist, wird von Betrügern für kriminelle Zwecke ausgenutzt.
Wie funktioniert die Masche?
Die Warnung, die LastPass ausspricht, ist auf dem Blog des Unternehmens nachzulesen. Die Betrüger täuschen vor, dass der eigentliche User und Inhaber des LastPass-Accounts verstorben sei. Dazu faken sie eine E-Mail, die im Namen des LastPass-Supports verschickt wird.
Im Betreff einer solchen Nachricht steht häufig: "Legacy Request Opened (URGENT IF YOU ARE NOT DECEASED)". In der E-Mail erklärt der Support, dass ein Familienangehöriger eine Sterbeurkunde vorgelegt habe, um an die entsprechenden Passwörter zu gelangen.
Im ersten Augenblick wirken die Mails perfekt und lassen keinen Zweifel an der Echtheit aufkommen. Du bekommst sogar eine Fallnummer, eine Bearbeiter-ID oder eine Prioritätsstufe übermittelt. Alles Angaben, die dich von der Seriosität der Nachricht überzeugen sollen. Klickst du dann aber auf den Link, der in der E-Mail angegeben ist, tappst du in die Falle. Neben Mails versuchen Betrüger auch telefonisch an deine Daten zu kommen - deshalb solltest du am Telefon ein bestimmtes Wort auf jeden Fall vermeiden.
Wie gehen die Betrüger vor?
Wie immer ist es auch hier so, dass du unter keinen Umständen auf einen Link klicken und Daten preisgeben sollst. Auf der Fake-Seite wirst du aufgefordert, das Master-Passwort zu übermitteln. Das ist verdächtig und sollte dich stutzig machen.
In der E-Mail selbst wird angegeben, dass ein einzelner Mitarbeiter von LastPass dich nicht auffordern würde, das Master-Passwort anzugeben. Auch das nur eine Masche, um die Glaubwürdigkeit der Fake-Nachricht vorzutäuschen. Manchmal wirst du sogar angerufen.
