Warum Phishing-Mails behaupten, ihr seid gestorben

Derzeit nutzen Online-Kriminelle wieder eine besonders perfide Methode, um Nutzerinnen und Nutzer des Passwort-Managers LastPass hinters Licht zu führen. Im Betreff der jeweiligen Mails steht “Legacy Request Opened – URGENT IF YOU ARE NOT DECEASED“, wie LastPass im Blog schreibt.

In dem E-Mail wird behauptet, jemand habe eine Sterbeurkunde von euch hochgeladen, um Zugriff auf eure gespeicherten Passwörter zu erhalten. Diese Behauptung soll Angst erzeugen, zusätzlich zu der Dringlichkeit, die der Betreff vermittelt. 

Ein Link führt die Opfer auf eine gefälschte Website, auf der sie zur Eingabe ihres Master-Passworts gedrängt werden, um die angebliche Anfrage rückgängig zu machen. Hinter der Phishing-Attacke soll die Gruppe CryptoChameleon stecken.

➤ Mehr lesen: Fake-Shops, Phishing, Identitätsdiebstahl: „Die Bedrohungslage ist ernst“

Keinen Zugriff nur durch Sterbeurkunde

Bei LastPass gibt es eine Funktion namens "Notfallzugriff" (Emergency Access), mit der man einer oder mehreren vertrauenswürdigen Personen Zugang zu einem LastPass-Konto gewähren kann, um im Falle eines Notfalls oder nach dem Tod Zugriff auf das Konto und die darin gespeicherten Passwörter und sicheren Notizen zu erhalten. 

Diese Zugriffsberechtigung wird vom Kontoinhaber allerdings im Voraus eingerichtet, indem er die Person als Notfallkontakt einlädt und eine Wartezeit definiert, nach deren Ablauf der Notfallkontakt den Zugriff anfordern und erhalten kann, wenn der Kontoinhaber nicht ablehnt. Eine Zugriffsgewährung über eine Sterbeurkunde allein gibt es bei LastPass nicht.

➤ Mehr lesen: KI-Browser fallen auf Betrüger leichter herein als Menschen

Telefonische Versuche

Laut Mimikama würden manche Opfer auch noch zusätzlich telefonisch kontaktiert werden. Die Täter würden sich als LastPass-Mitarbeiter ausgeben und dann auf gefälschte Webseiten locken, wo man ebenfalls seine Daten eingeben muss. 

LastPass hat die Haupt-Phishing-Seite inzwischen entfernen lassen und appelliert an seine Nutzer, bei verdächtigen Anrufen, E-Mails oder Textnachrichten vorsichtig zu sein und niemals das Master-Passwort weiterzugeben. Verdachtsfälle sollen direkt an abuse@lastpass.com gemeldet werden