El correo de phishing que llegó desde los propios servidores de DocuSign

Un estafador no necesita falsificar DocuSign. Solo puede registrarse en él.

Ese es el punto que la mayoría de la gente no entiende bien sobre los correos de facturas falsas que llegan a su bandeja de entrada. Nos han entrenado para buscar la señal — el dominio mal escrito, la dirección de remitente rara, el enlace que va a docus1gn-secure-login punto algo. Pero una ola creciente de estas estafas atraviesa cada filtro limpiamente, porque los criminales no están suplantando a DocuSign en absoluto. Lo están usando. Cuenta real, sobre real, correo real enviado desde los servidores de correo reales de DocuSign.

Así es como funciona. Un atacante crea una cuenta legítima de DocuSign, construye un documento real — digamos, una "factura" por $9.800 en servicios de seguridad de red de un proveedor falso — y te lo envía a través del flujo normal de solicitud de firma de la plataforma. DocuSign lo entrega gustosamente. El correo genuinamente se originó en la infraestructura de DocuSign, así que lleva autenticación válida. La estafa vive dentro del documento: un número de teléfono para llamar, o instrucciones para transferir dinero antes de que "apruebes" un cargo. Sin malware, sin enlace falsificado para que tu filtro capture. DocuSign ha reconocido el patrón y advierte a los usuarios que su propia plataforma se abusa de esta manera.

Lo que nos lleva al visto bueno verde, y por qué te está mintiendo.

Cuando tu proveedor de correo te dice que un mensaje está "verificado", está ejecutando tres controles: SPF, DKIM y DMARC. SPF confirma que el mensaje provino de un servidor autorizado para enviar ese dominio. DKIM agrega una firma criptográfica que prueba que el mensaje no fue alterado en tránsito. DMARC une los dos e indica a los receptores qué hacer si fallan. Los tres son reales, útiles y vale la pena tenerlos. Aquí está la trampa: nunca fueron construidos para resolver esto: verifican quién envió el correo, no si esa persona está tratando de robarte. Un mensaje enviado a través de los servidores reales de DocuSign pasa los tres con éxito rotundo — porque genuinamente es de DocuSign. La autenticación está funcionando exactamente como se diseñó. Solo que no puede leer intenciones.

Este es el punto débil que los atacantes han aprendido a explotar a escala. Proofpoint, que investiga esto para vivir, ha documentado un aumento en "abuso de servicio legítimo" — campañas que se montan en plataformas confiables como DocuSign, PayPal, Microsoft y Dropbox precisamente porque esos dominios pasan cada control de autenticación y rara vez se bloquean. La función de "solicitud de dinero" de PayPal ha sido un favorito por la misma razón: un correo real de PayPal, con un enlace real de PayPal, pidiéndote que disputes un cargo que nunca sucedió llamando a un número que llega al estafador.

La escala es la parte incómoda. El Centro de Quejas de Delitos por Internet del FBI registró más de $16 mil millones en pérdidas reportadas en 2024, y el compromiso de correo empresarial — la categoría pulida, sin malware, se ve totalmente legítima a la que pertenecen estas falsificaciones — se encuentra entre los más costosos. Estos no son correos torpes del príncipe nigeriano. Son limpios, de marca y autenticados.

Entonces, ¿qué realmente te protege, si el visto bueno no lo hace? No el remitente. La solicitud. Una factura real no tiene una fecha límite de pánico. Una solicitud de firma real coincide con algo que ya estabas esperando. Cuando un documento te dice que llames a un número para disputar un cargo que no reconoces, esa es toda la estafa en una oración — porque el movimiento legítimo es ignorar el correo por completo e iniciar sesión en el sitio de la empresa tú mismo, escribiendo la dirección a mano.

El visto bueno te dice que la carta vino de una oficina postal real. No te dice nada sobre lo que está escrito adentro.