Sean Cassidy upptäckte nyligen att den populära lösenordshanteraren LastPass är utsatt för en phishing-attack som tar fördel av det sätt meddelandena visas för användarna av tjänsten.
Den metod som han beskriver på sin blogg fungerar i Google Chrome, och till en viss grad i Firefox också.
Den största skillnaden mellan de två webbläsarna är att falska meddelanden visas att Chrome-användare på attack platser ser identiskt till det meddelande som LastPass förlängning skulle visa dem, medan det är inte fallet om Firefox används.
Så hur gör phishing-attack arbete?
LastPass visar meddelanden till användare i webbläsaren är virtuella till vilka webbplatser som är öppna i webbläsare har tillgång till.
skärmdump av Sean Cassidy
En skadlig webbplats skulle dra LastPass efter anmälan kontrollera att password manager används. Enligt Cassidy, de kan även logga ut användaren innan de visas meddelandet för att få det att se mer verkligt.
Meddelandet ber användarna att ange sitt användarnamn och lösenord, och om den är konfigurerad, två-faktor autentisering kod.
Självklart, den informationen kan sedan användas av angripare för att få tillgång till en användares vault att ge dem tillgång till all information, anteckningar och andra känsliga uppgifter sparas i den.
Har du blivit hackad?
Du kan kontrollera åtkomst till kontot på Historik-sidan. Där hittar du listat alla de senaste inloggning.
Gör följande för att komma dit:
- Klicka på LastPass-Ikonen.
- Välj Min LastPass Vault.
- I vänster-menyn som visas, välj Verktyg > Visa Historik.
Varje händelse är anges med ett datum, IP-adress, DNS och metod som används för åtkomst.
Hur du förhindrar att du blir hackad
LastPass är att arbeta på en lösning enligt Sean Cassidy, som lämnas frågan till bolaget förra året.
Angrepp kan upptäckas lätt dock.
- Om du använder Firefox och få loggen i fönstret, prova att växla till en annan flik. Om det fungerar, det är en bluff inloggningsprompten.
- Om du använder Google Chrome, se till att sidan där du anger autentiseringsuppgifter börjar med chrome-extension://
Generellt sett, kanske du vill logga in på LastPass hemsida direkt, och inte via en förlängning. När du är inloggad på webbplatsen, logga in raggas upp av förlängningen så att du kan använda dess funktioner.
Nu är Du: Hur gör du för att logga in på LastPass eller andra online-chefer lösenord?