Alerta de seguridad crítica sobre una campaña de phishing activa que comenzó el 19 de enero de 2026. Los actores maliciosos se hacen pasar por el personal de soporte de LastPass y envían correos electrónicos fraudulentos que afirman requerir copias de seguridad urgentes de la bóveda para robar contraseñas maestras de usuarios desprevenidos. Los correos de phishing emplean tácticas de ingeniería social creando una urgencia artificial, alegando falsamente que LastPass está realizando mantenimiento

Alerta crítica de seguridad sobre una campaña de phishing activa que comenzó el 19 de enero de 2026. Los actores maliciosos se hacen pasar por el personal de soporte de LastPass y envían correos electrónicos fraudulentos que afirman requerir una copia de seguridad urgente de la bóveda para robar las contraseñas maestras de usuarios desprevenidos.

Los correos de phishing utilizan tácticas de ingeniería social creando una falsa sensación de urgencia, alegando falsamente que el mantenimiento de LastPass exige a los clientes respaldar sus bóvedas en un plazo de 24 horas.

LastPass confirma explícitamente que nunca solicita las contraseñas maestras de los clientes ni exige copias de seguridad inmediatas por correo electrónico.

La campaña se lanzó estratégicamente durante el fin de semana festivo en EE.UU., una elección de tiempo deliberada para aprovecharse de la reducción de personal de seguridad y la demora en la respuesta a incidentes.

Los actores de amenazas suelen explotar estas ventanas para maximizar la tasa de éxito del compromiso antes de ser detectados.

La infraestructura de phishing consta de dos componentes principales: un redireccionamiento inicial alojado en infraestructura AWS S3 comprometida y un dominio falso diseñado para imitar los servicios legítimos de LastPass.

Debes eliminar inmediatamente cualquier correo que afirme requerir mantenimiento de LastPass.

LastPass confirma que las comunicaciones legítimas nunca solicitan contraseñas maestras, copias de seguridad de bóvedas ni acciones urgentes a través de correos no solicitados.

Las organizaciones deben implementar controles de seguridad en el correo electrónico para bloquear mensajes de las direcciones de remitentes identificadas y educar a su personal sobre los indicadores de phishing, como el lenguaje artificialmente urgente y las solicitudes de credenciales sensibles.

LastPass está coordinando con socios externos para desmantelar la infraestructura maliciosa. Se anima a los usuarios que hayan recibido estos correos a reportarlos directamente a abuse@lastpass.com para su análisis y seguimiento.