ایمیل فیشینگی که از سرورهای خود DocuSign آمد

یک کلاهبردار نیازی ندارد DocuSign را جعل کند. می‌تواند فقط برای آن ثبت‌نام کند.

این همان بخشی است که بیشتر مردم در مورد ایمیل‌های صورت‌حسابِ جعلی‌ای که به صندوق ورودی آنها می‌رسند اشتباه می‌فهمند. ما برای جستجوی نشانه‌ها تربیت دیده‌ایم — دامنه‌ی اشتباه‌نوشته‌شده، آدرس فرستنده عجیب، لینکی که به دocus1gn-secure-login یا چیزی مشابه می‌رود. اما موجی رو به رشد از این تقلب‌ها از تمام فیلترها عبور می‌کند، زیرا بخش‌جرمانکاران اصلاً DocuSign را شبیه‌سازی نمی‌کنند. آنها از آن استفاده می‌کنند. حساب واقعی، فایل واقعی، ایمیل واقعی از سرورهای ایمیلِ واقعیِ DocuSign.

نحوه‌ی کار آن اینطور است. یک مهاجم یک حساب DocuSign معتبر ایجاد می‌کند، یک سند واقعی می‌سازد — مثلاً، یک «صورت‌حساب» برای ۹۸۰۰ دلار برای خدمات امنیت شبکه از فروشنده‌ی جعلی — و آن را از طریق جریان درخواست امضای معمول پلتفرم برای شما می‌فرستد. DocuSign با خوشحالی آن را تحویل می‌دهد. ایمیل واقعاً از زیرساخت DocuSign منشأ گرفته است، پس احراز هویت معتبر دارد. تقلب در درون سند است: شماره تلفنی برای تماس گرفتن، یا دستورالعملی برای انتقال پول پیش از اینکه یک هزینه را «تأیید» کنید. هیچ بدافزاری نیست، هیچ لینک جعلی‌شده‌ای برای فیلترتان که بگیرد. DocuSign الگوی این رفتار را به رسمیت شناخته و کاربران را هشدار می‌دهد که پلتفرم خود آن‌ها به این طریق مورد سوء‌استفاده قرار می‌گیرد.

این ما را به تیک سبز می‌رساند، و چرا دروغ می‌گوید.

وقتی فراهم‌کننده‌ی ایمیل شما به شما می‌گوید پیام «تأیید شده» است، سه بررسی انجام می‌دهد: SPF، DKIM، و DMARC. SPF تأیید می‌کند پیام از سروری آمده است که برای آن دامنه اجازه فرستش دارد. DKIM یک امضای رمزنگاری می‌افزاید که ثابت می‌کند پیام در حین انتقال دستکاری نشده است. DMARC این دو را به یکدیگر پیوند می‌زند و به گیرندگان می‌گوید اگر شکست بخورند چه کار کنند. هر سه واقعی، مفید، و شایسته داشتن هستند. اینجاست که چالش: آنها هرگز برای حل این مورد ساخته نشده‌اند: آنها تأیید می‌کنند چه کسی ایمیل را فرستاد، نه آیا آن فرد می‌خواهد شما را غارت کند. پیامی که از طریق سرورهای واقعی DocuSign ارسال می‌شود با تمام سه مورد موفق می‌شود — زیرا واقعاً از DocuSign است. احراز هویت دقیقاً طبق طراحی کار می‌کند. فقط نمی‌تواند نیت را بخواند.

این نقطه نرم است که مهاجمان آن را در مقیاس بزرگ برای سوء‌استفاده یاد گرفته‌اند. Proofpoint، که برای معاش این مورد را بررسی می‌کند، یک موج شدیدتر از «سوء‌استفاده‌ی خدمات معتبر» — کمپین‌هایی که بر روی پلتفرم‌های قابل اعتماد مانند DocuSign، PayPal، Microsoft، و Dropbox سوار می‌شوند دقیقاً به دلیل اینکه آن دامنه‌ها از تمام بررسی‌های احراز هویت عبور می‌کنند و کمتر مسدود می‌شوند — را مستند کرده است. ویژگی «درخواست پول» خود PayPal به همان دلیل مورد علاقه بوده است: ایمیل واقعی PayPal، با لینک واقعی PayPal، از شما می‌خواهد تا بر سر هزینه‌ای که هرگز اتفاق نیفتاد اعتراض کنید و با تماس گرفتن با شماره‌ای که به کلاهبردار می‌رسد.

مقیاس بخش ناراحت‌کننده است. مرکز شکایات جرائم اینترنتی FBI بیش از 16 میلیارد دلار تلفات گزارش‌شده را در سال 2024 ثبت کرد، و سازش ایمیل تجاری — دسته‌ی صیقلی‌شده و بدون بدافزار، کاملاً معتبر نظر می‌آید که این تقلب‌ها به آن تعلق دارند — در میان پرهزینه‌ترین‌ها است. اینها ایمیل‌های «شاهزاده نیجریه‌ای» بی‌احتیاط نیستند. آنها تمیز، دارای برند، و احراز‌هویت‌شده هستند.

پس چه چیزی واقعاً شما را محافظت می‌کند، اگر تیک سبز نمی‌کند؟ نه فرستنده. درخواست. یک صورت‌حساب واقعی مهلت وحشت‌آور ندارد. درخواست امضای واقعی با چیزی مطابقت دارد که قبلاً انتظار داشتید. وقتی سند به شما می‌گوید برای اعتراض بر سر هزینه‌ای که نمی‌شناسید با شماره تلفنی تماس بگیرید، این کل تقلب در یک جمله است — زیرا حرکت معتبر این است که ایمیل را کاملاً نادیده بگیرید و خود به سایت شرکت وارد شوید، آدرس را دست‌نویس تایپ کنید.

تیک سبز به شما می‌گوید نامه از یک دفتر پست واقعی آمد. به شما هیچ چیزی درباره‌ی آنچه در داخل نوشته‌شده است نمی‌گوید.