Falsi avvisi dei gestori di password (2026): la campagna di phishing che punta alla tua password principale

Il tuo gestore di password custodisce ogni credenziale che possiedi, il che rende un'e-mail apparentemente proveniente da lui insolitamente persuasiva. È esattamente ciò che gli aggressori stanno sfruttando: LastPass ha segnalato una campagna di phishing attiva che imita le sue stesse notifiche di sicurezza per catturare le password principali. Ecco come è costruita la trappola e l'unica abitudine che la neutralizza, per quanto convincente possa sembrare l'e-mail.

Che cosa sta succedendo davvero

La campagna funziona per impersonificazione, non per intrusione. Gli aggressori hanno registrato domini pensati per superare un'occhiata veloce:

• lastpassnewsletter.com, registrato il 13 luglio 2026
• lastpasscompliance.com

Le e-mail inviate dal primo dominio sostengono che devi consultare una politica di sicurezza aggiornata, il tipo di messaggio amministrativo che nessuno legge con attenzione. Il clic porta al secondo dominio, che si spaccia per DocuSign e ti invita a scaricare quello che viene presentato come software DocuSign.

La sequenza è deliberata. Un avviso di sicurezza genera preoccupazione, un documento di conformità sembra ordinario e un servizio di firma familiare abbassa la guardia proprio nel momento in cui ti viene chiesto di autenticarti o di installare qualcosa.

Gli utenti Bitwarden sono stati bersaglio di campagne analoghe, quindi non è un problema di un singolo fornitore. Ondate precedenti nel 2026 usavano un altro pretesto: un'e-mail che sosteneva che dovevi «eseguire il backup della cassaforte in modo sicuro» entro 24 ore a causa di una manutenzione urgente.

Perché questo attacco è efficace

La maggior parte del phishing ti chiede di accedere a una banca o a un servizio di consegne. Questo ti chiede di proteggere ciò di cui già ti preoccupi, usando la voce dello strumento a cui affidi quella protezione.

Tre dettagli lo rendono efficace:

• L'urgenza. Una scadenza di 24 ore impedisce alle persone di verificare.
• La plausibilità. I gestori di password inviano davvero avvisi di sicurezza, quindi il tipo di messaggio non è di per sé sospetto.
• I domini sosia. lastpassnewsletter.com non appare palesemente sbagliato a colpo d'occhio, soprattutto su un telefono dove l'indirizzo viene troncato.

Nota che nulla di tutto questo richiede che il fornitore abbia subito una violazione. L'infrastruttura sotto attacco è la tua attenzione.

L'abitudine che lo neutralizza

Non devi diventare bravo a riconoscere i falsi. Ti serve una sola regola:

Non agire mai da un collegamento contenuto in un'e-mail sulla tua cassaforte. Apri l'applicazione, oppure digita tu stesso l'indirizzo ufficiale.

Se l'avviso è reale, ti aspetterà dentro il tuo account. Se non c'è nulla, l'e-mail era falsa e non hai perso niente a controllare. Funziona anche contro una contraffazione perfetta, perché l'attacco dipende interamente dal fatto che tu segua il loro percorso invece del tuo.

Contano due misure di supporto:

• Metti un'autenticazione a due fattori solida sulla cassaforte stessa, preferibilmente una chiave hardware o un'app di autenticazione anziché gli SMS. Se la tua password principale viene catturata, è questo che si frappone tra l'aggressore e tutto ciò che possiedi.
• Controlla il dominio del mittente quando un'e-mail ti sorprende, e tratta qualsiasi scadenza inferiore a una settimana come un campanello d'allarme anziché come un motivo per affrettarti.

Se ci sei già cascato

Agisci in quest'ordine, ed esegui ogni passaggio dall'applicazione ufficiale o digitando tu stesso l'indirizzo:

1. Cambia subito la password principale.
2. Attiva o verifica l'autenticazione a due fattori sulla cassaforte, con una chiave hardware o un'app di autenticazione.
3. Esamina l'attività recente della cassaforte e rinnova per prime le credenziali più sensibili: e-mail, banca e tutto ciò che dà accesso di recupero ad altri account.
4. Analizza il dispositivo se hai scaricato un file offerto dalla pagina.

Comincia dall'account e-mail. Chi lo controlla può reimpostare quasi tutto il resto.

In sintesi

Questa campagna ricorda che il punto più debole di una configurazione ben protetta è di solito il canale di notifica umano, non la cifratura. LastPass e Bitwarden sono stati impersonati, non violati. La difesa non costa nulla e non richiede competenze: considera ogni e-mail di sicurezza sulla tua cassaforte come non affidabile, e vai tu stesso nell'applicazione. Aggiungi un secondo fattore hardware e alla campagna non resta più nulla su cui far leva.

Ricostruzione basata su avvisi pubblici e sulla copertura della stampa specializzata in sicurezza relativa alla campagna di luglio 2026, compresi i domini sosia citati sopra. Le registrazioni dei domini e le tattiche delle campagne cambiano; considera quei nomi specifici come esempi dello schema e non come un elenco esaustivo. I collegamenti commerciali riportano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione, senza costi aggiuntivi per te.