Una nueva y cuidadosamente elaborada campaña de phishing está actualmente dirigiéndose a los usuarios de LastPass, con atacantes enviando correos electrónicos falsos de soporte diseñados para robar las contraseñas maestras de las bóvedas. La campaña, que comenzó alrededor del 1 de marzo de 2026, utiliza tácticas de ingeniería social para engañar a los usuarios haciéndoles creer que sus cuentas han sido comprometidas, presionándolos para que revelen sus credenciales.

Una nueva y cuidadosamente elaborada campaña de phishing está atacando actualmente a usuarios de LastPass, con ciberdelincuentes enviando correos electrónicos falsos de soporte diseñados para robar las contraseñas maestras de sus bóvedas.

La campaña, que comenzó alrededor del 1 de marzo de 2026, utiliza tácticas de ingeniería social para engañar a los usuarios haciéndoles creer que sus cuentas han sido comprometidas, presionándolos para que entreguen sus credenciales voluntariamente.

Los atacantes detrás de esta operación envían cadenas de correos electrónicos fabricadas que parecen mostrar a otra persona intentando acciones no autorizadas en la cuenta de LastPass del objetivo.

Estas acciones falsas incluyen exportar datos de la bóveda, activar una recuperación completa de la cuenta o registrar un nuevo dispositivo de confianza.

Al presentar lo que parece ser un hilo de correo interno en curso, los atacantes crean una sensación inmediata de urgencia, empujando a la víctima a hacer clic en los enlaces proporcionados y actuar antes de que supuestamente se produzca algún daño.

Esta táctica de generar pánico para forzar una respuesta rápida es una característica típica de los ataques de ingeniería social.

Analistas de LastPass del equipo TIME identificaron la campaña y emitieron un aviso público el 3 de marzo de 2026, confirmando que la operación de phishing estaba activa.

El equipo señaló que no hay impacto en los sistemas de LastPass en sí, pero el riesgo real radica en que los usuarios envíen voluntariamente sus credenciales en páginas de inicio de sesión falsas. El equipo TIME está trabajando activamente con socios externos para retirar los sitios maliciosos lo antes posible.

La escala de esta campaña es significativa. Los atacantes redirigen a las víctimas a través de múltiples enlaces antes de llevarlas a una página fraudulenta de inicio de sesión único (SSO) alojada en verify-lastpass[.]com.

Este dominio actúa como el punto central de recolección de credenciales robadas. Para dificultar la detección, los atacantes generan versiones ligeramente modificadas de la URL añadiendo diferentes números al final, creando un gran conjunto de enlaces de apariencia única que apuntan a la misma página de phishing.

Este enfoque también ayuda a que algunos enlaces pasen desapercibidos para herramientas básicas de filtrado de URL utilizadas por pasarelas de seguridad de correo electrónico.

Todos los usuarios de LastPass deben tratar cualquier correo inesperado que haga referencia a actividad en su cuenta con mucha sospecha. LastPass ha confirmado que su equipo nunca pedirá tu contraseña maestra por correo electrónico ni a través de ningún otro canal de comunicación.

Si tienes dudas sobre si un correo con la marca de LastPass es genuino, repórtalo directamente a abuse@lastpass.com para que el equipo de seguridad lo investigue.

Suplantación del nombre para mostrar: cómo funciona el engaño

El elemento técnicamente más efectivo de esta campaña es el uso de la suplantación del nombre para mostrar. En esta técnica, el atacante manipula solo el nombre visible que aparece en el campo del remitente de un correo electrónico, mientras que la dirección real de envío pertenece a un dominio completamente ajeno.

Cuando un objetivo recibe uno de estos mensajes, puede ver un nombre como "Soporte de LastPass", que parece completamente legítimo a primera vista.

Sin embargo, las direcciones reales de envío provienen de dominios como hancochem[.]at, salud5i[.]cl, remstal-praxis[.]de y kreducationsa[.]com, ninguno de los cuales está conectado a LastPass de ninguna manera.

Esta técnica es especialmente efectiva contra usuarios de dispositivos móviles, ya que la mayoría de las aplicaciones de correo electrónico solo muestran el nombre del remitente por defecto.

Para verificar la dirección real de envío, un usuario debe expandir manualmente el campo del remitente, algo que muchas personas no hacen, especialmente cuando un correo parece provenir de una fuente confiable.

Los atacantes aprovechan este comportamiento deliberadamente, elaborando su correspondencia falsa para que parezca un hilo real de ida y vuelta, añadiendo aún más credibilidad al engaño.

Una vez que la víctima hace clic en un enlace incluido en el correo, es redirigida a lo que parece ser una página legítima de inicio de sesión único de LastPass con la misma imagen de marca.

En el momento en que un usuario introduce su contraseña maestra, el atacante la captura y obtiene acceso completo a todo lo almacenado dentro de la bóveda. Estas páginas de phishing se sirven desde direcciones IP como 172.67.200[.]82, 104.21.21[.]204 y 52.102.103[.]4.

Se recomienda encarecidamente que siempre revises la dirección completa del remitente en cualquier correo relacionado con seguridad, evites hacer clic en enlaces que afirmen que se ha detectado actividad en tu cuenta y accedas directamente al sitio web oficial de LastPass escribiendo la dirección en tu navegador.