Den phishing-email, der kom fra DocuSignsne egne servere

En svindler behøver ikke at forfalske DocuSign. De kan bare tilmelde sig det.

Det er den del, de fleste får galt i forhold til de falske faktura-emails, der lander i deres indbakke. Vi er blevet trænet til at lede efter tegnet — det stavefejl domæne, den mærkelige afsenderadresse, linket der peger til docus1gn-secure-login dot noget. Men en voksende bølge af disse svindelnumre passerer gennem alle filtre rent, fordi kriminelle slet ikke udgiver sig for at være DocuSign. De bruger det. Rigtig konto, rigtigt dokument, rigtig email sendt fra DocuSignsne faktiske mailservere.

Sådan fungerer det. En angriber opretter en legitim DocuSign-konto, laver et rigtigt dokument — f.eks. en "faktura" på $9.800 for netværkssikkerhedstjenester fra en falsk leverandør — og sender det til dig gennem platformens normale signaturanmodningsflow. DocuSign leverer det gerne. Emailen stammer virkelig fra DocuSignsne infrastruktur, så den har gyldig godkendelse. Svindelen ligger inde i dokumentet: et telefonnummer at ringe til, eller instruktioner om at overføre penge, før du "godkender" en afgift. Ingen malware, intet forfalsket link for dit filter at få fat i. DocuSign har erkendt mønsteret og advarer brugerne om, at dets egen platform misbruges på denne måde.

Hvilket bringer os til det grønne flueben, og hvorfor det lyver for dig.

Når din e-mail-udbyder fortæller dig, at en besked er "bekræftet", kører den tre kontroller: SPF, DKIM og DMARC. SPF bekræfter, at beskeden kom fra en server, der er autoriseret til at sende for dette domæne. DKIM tilføjer en kryptografisk signatur, der beviser, at beskeden ikke blev manipuleret under transporten. DMARC binder de to sammen og fortæller modtagerne, hvad de skal gøre, hvis de fejler. Alle tre er rigtige, brugbare og værd at have. Her er faldgruberne: de blev aldrig bygget til at løse det her: de verificerer hvem der sendte emailen, ikke om denne person forsøger at røve dig. En besked sendt gennem DocuSignsne rigtige servere passerer alle tre med glans — fordi den virkelig er fra DocuSign. Godkendelsen fungerer præcis som designet. Den kan bare ikke aflæse intensioner.

Dette er det svage punkt, som angribere har lært at udnytte i stor skala. Proofpoint, som udforsker dette for livet, har dokumenteret en stigning i "legalt servicemisbrug" — kampagner, der benytter betroede platforme som DocuSign, PayPal, Microsoft og Dropbox netop fordi disse domæner passerer hver godkendelseskontrol og sjældent får blokeret. PayPals egen "pengeforespørgsel"-funktion har været favorit af samme grund: en rigtig PayPal-email, med et rigtig PayPal-link, der beder dig om at bestride en afgift, der aldrig fandt sted, ved at ringe til et nummer, der når svindle-manden.

Skalaen er den ubehagelige del. FBIs Internet Crime Complaint Center registrerede mere end $16 milliarder i rapporterede tab i 2024, med business email compromise — den polerede, ingen-malware, ser-helt-legitim kategori, som disse falske tilhører — blandt de dyreste. Det er ikke sløset nigerianske-prins-emails. De er rene, mærkede og godkendte.

Så hvad beskytter dig faktisk, hvis fluebenet ikke kan det? Ikke afsenderen. Anmodningen. En rigtig faktura har ikke en panikdedline. En rigtig signaturanmodning matcher noget, du allerede ventede. Når et dokument fortæller dig at ringe til et nummer for at bestride en afgift, du ikke genkender, det er hele svindelen i en sætning — fordi det legitime træk er at ignorere emailen helt og fuldt og logge ind på virksomhedens site selv, idet du skriver adressen manuelt.

Fluebenet fortæller dig, at brevet kom fra et rigtigt postkontor. Det fortæller dig intet om, hvad der er skrevet indeni.

@@END@@