LastPass: פישינג עם כתב פטירה מזויף מנסה לגנוב סיסמאות מאסטר ו-Passkeys
ב-23 באוקטובר 2025 הזהירה LastPass מקמפיין פישינג של CryptoChameleon: מייל על בקשת ירושה עם כתב פטירה מזויף, שמוביל לדף שמבקש את סיסמת המאסטר.
TL;DR בקצרה
- המייל מתחזה ל-LastPass ומודיע שקרוב משפחה פתח בקשת ירושה והעלה כתב פטירה.
- הקישור לביטול הבקשה מוביל לאתר lastpassrecovery[.]com, שמבקש את סיסמת המאסטר.
- לפי LastPass, התוקפים גם מתקשרים ומתחזים לנציגיה, ובכמה אתרים נראה ניסיון לגנוב Passkeys.
- LastPass: אף אחד מצוות החברה לא יבקש את סיסמת המאסטר שלכם.
קבוצת CryptoChameleon מפיצה מיילים בשם LastPass על בקשת ירושה עם כתב פטירה. המטרה היא לגנוב סיסמאות מאסטר. לפי LastPass, שפרסמה אזהרה ב-23 באוקטובר 2025, הקמפיין החל באמצע אוקטובר. התוקפים מתקשרים גם בטלפון, ובחלק מהאתרים שלהם נראה ניסיון לגנוב Passkeys.
CryptoChameleon והמייל על הירושה: איך הפישינג בנוי
המייל מתחזה לשולח LastPass בכתובת alerts@lastpass.com. הכתובת מזויפת. הנושא הוא Legacy Request Opened, ואחריו הסוגריים URGENT IF YOU ARE NOT DECEASED, כלומר דחוף אם אתם לא מתים.
הטקסט טוען שקרוב משפחה פתח בקשה לגישה לכספת שלכם. הוא כולל מספר נציג, תאריך פתיחה ודרגת עדיפות, ולפי LastPass כל הפרטים האלה שקריים. כדי לעצור את הבקשה, צריך ללחוץ על קישור ביטול. הקישור מוביל לאתר lastpassrecovery[.]com, והאתר מבקש את סיסמת המאסטר.
המייל גם מנסה להרגיע חשדות. הוא מציין שהקישור ייחודי לכם, ומבקש לוודא שהשולח הוא alerts@lastpass.com. בסוף המייל מופיעה שורה שמבקשת לא למסור את סיסמת המאסטר לאיש, כולל ל-LastPass. הניסוח הזה נועד להיראות אמין.
התוקפים לא הסתפקו במייל. לפי LastPass, הם גם התקשרו לנמענים והציגו את עצמם כנציגי החברה. הם דחקו בהם להיכנס לאתר המזויף ולהקליד שם את סיסמת המאסטר.
מי עומד מאחורי CryptoChameleon, ומה עם Passkeys
Google Threat Intelligence קישרה את הכתובת לקבוצה CryptoChameleon, הידועה גם בשם UNC5356. הקבוצה מכוונת בדרך כלל לבורסות קריפטו ולמשתמשים בהן. היא כבר השתמשה בשם LastPass בערכת פישינג באפריל 2024. האתר החדש מתארח אצל NICENIC, ספק אחסון מוכר מסוג bulletproof, כלומר כזה שלא נענה לבקשות הסרה.
לפי LastPass, אתרים קשורים מתחזים גם ל-Coinbase, ל-Binance, ל-Gmail, ל-Gemini ול-Google. כמה מאתרי הפישינג נראים מכוונים לגניבת Passkeys. מנהלי סיסמאות מודרניים שומרים ומסנכרנים גם אותם, ולכן הם יעד אטרקטיבי. LastPass מסרה שהורידה את האתר הראשון, והיא ממשיכה לשבש את הפעילות.
הפישינג משכנע משום שהוא מנצל פחד ודחיפות. מי שלא פתח בקשה כזו ירצה לבטל אותה מהר, ולא יעצור לבדוק את הכתובת. הוא גם מחקה תכונה אמיתית של מנהלי סיסמאות, גישה לחירום או ירושה, שמיועדת לבני משפחה. לפי BleepingComputer, במנגנון האמיתי בעל הכספת מקבל התראה, ורק אחרי תקופת המתנה מקבל קרוב המשפחה גישה.
לפי BleepingComputer, הקבוצה משתמשת גם בדפי התחברות מזויפים של Okta, של Gmail, של iCloud ושל Outlook. המטרה שלה היא ארנקי קריפטו של Binance, של Coinbase, של Kraken ושל Gemini. מי שמשתמש במנהל סיסמאות כדי להגן על חשבונות כאלה הוא יעד טבעי לקמפיין הזה.
מה זה אומר עבורכם
- לעולם לא מוסרים סיסמת מאסטר: LastPass מדגישה שאף אחד מצוותה לא יבקש אותה, לא במייל ולא בטלפון.
- אל תלחצו על הקישור במייל: היכנסו לכספת רק דרך האפליקציה או כתובת שהקלדתם בעצמכם. אם הגעתם דרך קישור, אל תקלידו שם סיסמה.
- דווחו ל-LastPass: בשיחה חשודה, נתקו ושלחו את פרטי השיחה אל abuse@lastpass.com. בהודעת טקסט, שלחו צילום מסך. במייל, העבירו אותו כצרופה לאותה כתובת.
- אם הקלדתם סיסמה: החליפו מיד את סיסמת המאסטר, והחליפו סיסמאות חשובות כמו בנק ודוא״ל. בדקו גם אילו Passkeys נוספו לחשבונות שלכם.
- הזהירו משפחה ועובדים: ההתחזות לבקשת ירושה מכוונת לבעלי כספות. בארגונים, שלחו את הדוגמה כהדרכה לעובדים.
מה הלאה
CryptoChameleon כבר תקפה משתמשי LastPass באפריל 2024, ובאוקטובר 2025 היא חוזרת עם גרסה שמכוונת גם ל-Passkeys. הניסיון מלמד שהקבוצה משנה שמות אתרים וסיפורי כיסוי במהירות. כדאי להתייחס לכל הודעה על שינוי בגישה לכספת כחשודה, עד שבדקתם אותה מתוך האפליקציה הרשמית.
מקורות והרחבה
- Possible CryptoChameleon social engineering campaign targeting LastPass customers and moreLastPass
- Fake LastPass death claims used to breach password vaultsBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
