Un nuevo gancho de phishing se está dirigiendo a usuarios del gestor de contraseñas LastPass aprovechando un escenario macabro: asegurar acceso al cuenta de una persona fallecida. Los estafadores envían correos que aparentan provenir de LastPass y afirman que se ha subido un certificado de defunción para solicitar la recuperación de una cuenta. El asunto más reportado aparece como Legacy Request Opened (URGENT IF YOU ARE NOT DECEASED) y el mensaje indica que, si el destinatario no ha fallecido, debe responder con la palabra Stop para cancelar la solicitud.
El objetivo real de la campaña, atribuida por inteligencia de amenazas a CryptoChameleon también conocida como UNC5356, es redirigir a la víctima a un sitio controlado por los atacantes donde se solicita la contraseña maestra de LastPass. Con esas credenciales los atacantes buscan tanto vaciar billeteras de criptomonedas como acceder a otros servicios protegidos por el gestor de contraseñas. En algunos casos los delincuentes incluso han llamado por teléfono haciéndose pasar por soporte y han instado a usuarios a entrar en la web fraudulenta y teclear su contraseña maestra.
LastPass emitió una alerta recordando que nunca solicita la contraseña maestra de un usuario y que los clientes deben reportar correos o llamadas sospechosas. El aviso incluyó direcciones IP y URL maliciosas, y la compañía ya ha retirado el sitio inicial detectado. La campaña usa técnicas conocidas como suplantación de dominio y alojamiento en servidores bulletproof para ocultar su origen, comportamiento consistente con ataques anteriores del mismo grupo que apuntan a usuarios de criptomonedas.
Para mitigar este tipo de amenazas es clave combinar educación al usuario con controles técnicos. Recomendaciones prácticas incluyen habilitar multifactor de autenticación resistente a phishing, preferiblemente autenticadores que requieran factor físico o claves hardware, y usar gestores de contraseñas que obliguen a una clave secreta adicional al registrar nuevos dispositivos. También conviene desconfiar de mensajes inesperados que pidan acciones poco habituales y verificar cualquier solicitud por canales oficiales antes de responder.
Desde la perspectiva empresarial, los responsables de seguridad deben difundir alertas internas y procedimientos claros para reportar sospechas. Además, es recomendable que las organizaciones garanticen que el gestor de contraseñas aprobado para empleados soporte MFA avanzado y políticas que añadan fricción para altas de nuevos dispositivos. Estas medidas reducen el impacto si un empleado cae en un phishing que roba credenciales.
En Q2BSTUDIO, empresa de desarrollo de software y aplicaciones a medida, ofrecemos soluciones integrales que incluyen ciberseguridad, auditorías y pentesting para proteger entornos corporativos frente a campañas de phishing dirigidas a gestores de contraseñas. Nuestros servicios combinan experiencia en software a medida, inteligencia artificial aplicada a detección de amenazas y consultoría en ciberseguridad y pentesting para reducir el riesgo de filtraciones y robo de credenciales.
Además, diseñamos aplicaciones y plataformas seguras adaptadas a cada cliente, integrando prácticas de seguridad desde el diseño. Si su empresa necesita desarrollar herramientas o migrar procesos a soluciones cloud con controles de seguridad, en Q2BSTUDIO podemos acompañarle con servicios cloud aws y azure y arquitecturas que incorporan mejores prácticas en protección de datos. Conozca nuestros proyectos de desarrollo de aplicaciones y software a medida para implementar controles personalizados y resilientes.
También ofrecemos servicios de inteligencia de negocio, implementación de power bi y agentes IA para automatizar detección y respuesta frente a incidentes. Palabras clave como aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA y power bi forman parte de nuestra propuesta de valor para impulsar tanto la innovación como la protección de sus activos digitales.
Si recibe un correo con el asunto Legacy Request Opened o cualquier mensaje que le solicite su contraseña maestra, no responda ni haga clic en enlaces. Capture la evidencia y envíela a los canales oficiales de la plataforma afectada y, en caso de necesitar apoyo profesional, contacte con especialistas en ciberseguridad. Para consultas sobre cómo reforzar sus controles y diseñar soluciones seguras a medida, Q2BSTUDIO está disponible para evaluar sus necesidades y proponer una estrategia integral.
Para reportes relacionados con LastPass, los usuarios pueden reenviar correos sospechosos o capturas de pantalla al equipo de LastPass a abuse@lastpass.com y, para protección preventiva, revise la configuración de MFA y recupere acceso por los canales oficiales si sospecha que su cuenta fue comprometida.
.jpg)