Phishingový e-mail, který přišel z vlastních serverů DocuSign

Podvodník nemusí falšovat DocuSign. Může se na něj prostě zaregistrovat.

To je ta část, kterou si lidé obvykle špatně uvědomují u falešných fakturačních e-mailů, které přistávají v jejich inboxu. Byli jsme cvičeni hledat pozůstalost — překlep v doméně, divnou adresu odesílatele, odkaz vedoucí na něco jako docus1gn-secure-login.com. Ale rostoucí vlna těchto podvodů projde každým filtrem čistě, protože zločinci vůbec nenapadají DocuSign. Používají ho. Skutečný účet, skutečný dokument, skutečný e-mail odeslaný z vlastních mailových serverů DocuSign.

Tady je postup. Útočník vytvoří legitimní účet DocuSign, vytvoří skutečný dokument — řekněme „fakturu" na 9 800 dolarů za služby síťové bezpečnosti od falešného prodejce — a odešle ji vám přes normální tok žádostí o podpis služby. DocuSign ji ochotně doručí. E-mail opravdu pochází z infrastruktury DocuSign, takže nese platný ověřovací autentizační kód. Podvod se skrývá uvnitř dokumentu: telefonní číslo k volání, nebo pokyny poslat peníze dřív, než „schválíte" poplatek. Žádný malware, žádný falešný odkaz, který by váš filtr mohl chytit. DocuSign sám uznal tento vzor a varuje uživatele, že jeho vlastní platforma se tímto způsobem zneužívá.

Což nás přivádí ke zeleným značkám a proč vám lhují.

Když vám váš poskytovatel e-mailu řekne, že je zpráva „ověřena", provádí tři kontroly: SPF, DKIM a DMARC. SPF potvrzuje, že zpráva přišla ze serveru, který je oprávněn posílat pro danou doménu. DKIM přidá kryptografický podpis dokazující, že zpráva nebyla během přenosu poškozena. DMARC obě části spojí a řekne příjemcům, co dělat, když selžou. Všechny tři jsou reálné, užitečné a stojí za to je mít. Zde je háček — nikdy nebyly navrženy řešit: ověřují kdo odeslal e-mail, ne zda se tato osoba pokouší vás okrást. Zpráva odeslaná přes skutečné servery DocuSign projde všemi třemi kontrolami bez problémů — protože opravdu pochází z DocuSign. Ověřování funguje přesně podle návrhu. Prostě nedokáže číst záměr.

Toto je slabé místo, které se útočníci naučili exploatovat ve velkém měřítku. Společnost Proofpoint, která to studuje profesionálně, zaznamenala nárůst „zneužívání legitimních služeb" — kampaně, které se připisují důvěryhodným platformám jako DocuSign, PayPal, Microsoft a Dropbox právě proto, že tyto domény projdou každou ověřovací kontrolou a zřídka kdy jsou blokovány. Funkce „žádosti o peníze" samotného PayPalu se pro stejný důvod stala oblíbeným nástrojem: skutečný e-mail PayPalu, se skutečným odkazem PayPalu, žádající vás, aby jste napadli poplatek, který se nikdy neuskutečnil, voláním čísla, které patří podvodníkovi.

Měřítko je ta nepříjemná součást. Internetské centrum hlášení trestné činnosti FBI zaznamenalo více než 16 miliard dolarů hlášených ztrát v roce 2024, přičemž ohrožení obchodního e-mailu — ta lesklá, bez malware kategorie, do které patří tyto padělky — patří mezi nejnákladnější. Nejde o neohrabané nigerijské e-maily o princeznách. Jsou čisté, značené a ověřené.

Co vás tedy skutečně chrání, když vás značka neochrání? Ne odesílatel. Žádost. Skutečná faktura nemá panickou lhůtu. Skutečná žádost o podpis se shoduje s něčím, co jste již očekávali. Když vám dokument řekne zavolat číslo, aby jste napadli poplatek, který neznáte, to je celý podvod v jedné větě — protože legitimní opatření je e-mail zcela ignorovat a přihlásit se na web společnosti sami, když zadáte adresu ručně.

Značka vám říká, že dopis přišel z opravdu skutečné pošty. Nic vám neříká o tom, co je v něm napsáno.