Die Phishing-E-Mail, die von DocuSignets eigenen Servern kam

Ein Betrüger muss DocuSign nicht fälschen. Er kann sich einfach dafür anmelden.

Das ist der Teil, den die meisten Menschen bei den Fake-Rechnungs-E-Mails falsch verstehen, die in ihrem Posteingang landen. Wir sind darauf trainiert, nach dem Erkennungszeichen Ausschau zu halten — der falsch geschriebenen Domain, der merkwürdigen Absenderadresse, dem Link, der zu docus1gn-secure-login oder etwas ähnlichem führt. Aber eine wachsende Welle dieser Betrügereien passiert jeden Filter sauber, weil die Kriminellen DocuSign überhaupt nicht fälschen. Sie nutzen es. Echtes Konto, echte Umschlag, echte E-Mail, die von DocuSignets eigentlichen Mailservern versendet wird.

So funktioniert das. Ein Angreifer erstellt ein legitimes DocuSign-Konto, erstellt ein echtes Dokument — sagen wir eine „Rechnung" für $9.800 für Netzwerksicherheitsdienste von einem gefälschten Anbieter — und sendet es dir über den normalen Unterschriftsanfrage-Workflow der Plattform. DocuSign liefert es gerne ab. Die E-Mail stammt wirklich von DocuSignets Infrastruktur, also trägt sie eine gültige Authentifizierung. Der Betrug steckt im Dokument selbst: eine Telefonnummer zum Anrufen oder Anweisungen zur Überweisung von Geld, bevor du eine Gebühr „genehmigst". Keine Malware, kein Spoofing-Link für deinen Filter zum Erkennen. DocuSign hat das Muster anerkannt und warnt Benutzer, dass seine eigene Plattform auf diese Weise missbraucht wird.

Was uns zum grünen Häkchen führt und warum es dich anlügt.

Wenn dir dein E-Mail-Anbieter sagt, dass eine Nachricht „verifiziert" ist, führt er drei Prüfungen durch: SPF, DKIM und DMARC. SPF bestätigt, dass die Nachricht von einem Server kam, dem es erlaubt ist, für diese Domain zu senden. DKIM fügt eine kryptografische Signatur hinzu, die beweist, dass die Nachricht bei der Übertragung nicht manipuliert wurde. DMARC verbindet die beiden und teilt den Empfängern mit, was zu tun ist, wenn sie fehlschlagen. Alle drei sind real, nützlich und es lohnt sich, sie zu haben. Hier ist der Haken: Sie wurden nie gebaut, um das zu lösen: Sie verifizieren wer die E-Mail gesendet hat, nicht ob diese Person versucht, dich auszurauben. Eine Nachricht, die über DocuSignets echte Server versendet wird, besteht alle drei mit Bravour — weil sie wirklich von DocuSign ist. Die Authentifizierung funktioniert genau wie geplant. Sie kann nur nicht die Absicht lesen.

Das ist die Schwachstelle, die Angreifer im großen Stil auszunutzen gelernt haben. Proofpoint, das dies beruflich erforscht, hat einen Anstieg von „Missbrauch legitimer Dienste" dokumentiert — Kampagnen, die auf vertrauenswürdigen Plattformen wie DocuSign, PayPal, Microsoft und Dropbox reiten, gerade weil diese Domains jeden Authentifizierungscheck bestehen und selten blockiert werden. Die eigene „Zahlungsanfrage"-Funktion von PayPal war aus demselben Grund ein Favorit: eine echte PayPal-E-Mail, mit einem echten PayPal-Link, die dich auffordert, eine Gebühr, die nie passiert ist, anzufechten, indem du eine Nummer anrufst, die den Betrüger erreicht.

Das Ausmaß ist der unbequeme Teil. Das Internet Crime Complaint Center des FBI meldete 2024 Verluste von mehr als $16 Milliarden, wobei Business-E-Mail-Kompromittierung — die elegante, malware-freie, sieht-absolut-echt-aus-Kategorie, zu der diese Fälschungen gehören — zu den kostspieligsten gehörte. Das sind keine schlampigen Nigerian-Prince-E-Mails. Sie sind sauber, markengebunden und authentifiziert.

Was schützt dich also wirklich, wenn das Häkchen es nicht tut? Nicht der Absender. Die Anfrage. Eine echte Rechnung hat keine Panikfrist. Eine echte Unterschriftsanfrage entspricht etwas, das du bereits erwartet hast. Wenn dir ein Dokument sagt, eine Nummer anzurufen, um eine Gebühr anzufechten, die du nicht erkennst, ist das der ganze Betrug in einem Satz — weil der legitime Schritt ist, die E-Mail völlig zu ignorieren und dich selbst auf die Website des Unternehmens einzuloggen, die Adresse selbst einzutippen.

Das Häkchen sagt dir, dass der Brief aus einer echten Post kam. Es sagt dir nichts darüber, was darin geschrieben steht.