Gebruikers van wachtwoordbeheerder LastPass worden momenteel geconfronteerd met een opvallende en geraffineerde phishingaanval. Criminelen sturen e-mails waarin wordt beweerd dat de ontvanger is overleden, zo waarschuwt LastPass zelf. In het bericht staat dat iemand een overlijdensakte heeft ingediend om toegang te krijgen tot de wachtwoordkluis van de gebruiker.

De slachtoffers krijgen de dringende oproep om via een meegestuurde link het vermeende verzoek te stoppen. Wie daarop klikt, belandt echter op een nagemaakte LastPass-website waar om het master password wordt gevraagd. Met dat wachtwoord kunnen de aanvallers vervolgens volledige toegang krijgen tot de online wachtwoordkluis van het slachtoffer.

Georganiseerde groep cybercriminelen

De phishingmail wekt extra vertrouwen door te beweren dat de link persoonlijk en uniek is en dat de gebruiker alleen via deze route veilig kan inloggen op zijn account. LastPass meldt bovendien dat sommige slachtoffers ook telefonisch werden benaderd door de criminelen, die zich voordeden als medewerkers van het bedrijf. Tijdens die gesprekken werden gebruikers aangespoord om alsnog via de frauduleuze website in te loggen.
Volgens LastPass gaat het om een georganiseerde groep cybercriminelen die in het verleden vaker aanvallen uitvoerde op cryptobeurzen en hun klanten. Het bedrijf benadrukt dat gebruikers altijd rechtstreeks via de officiële website of app moeten inloggen en nooit op links in verdachte e-mails mogen klikken.
LastPass onderzoekt de aanval en zegt dat de eigen infrastructuur niet is gehackt. De phishingactie richt zich volledig op het misleiden van individuele gebruikers — met een macabere twist die bedoeld is om paniek te zaaien en snel inloggegevens buit te maken.