Phishing-sähköposti, joka tuli DocuSignin omilta palvelimilta

Huijari ei tarvitse väärentää DocuSignia. He voivat vain rekisteröityä sille.

Siihen monelta menevät pieleen näissä väärissä laskusähköposteissa, jotka laskeutuvat postilaatikkoosi. Meidät on dressittu etsimään merkkejä — väärin kirjoitettu domain, outo lähettäjän osoite, linkki, joka johtaa docus1gn-secure-login-pisteeseen ja jonnekin. Mutta kasvava aalto näistä huijauksia pääsee puhtaasti jokaisen suodattimen läpi, koska rikolliset eivät imitoi DocuSignia ollenkaan. He käyttävät sitä. Oikea tili, oikea dokumentti, oikea sähköposti lähetetty DocuSignin todellisista postipalvelimilta.

Näin se toimii. Hyökkääjä luo oikeutetun DocuSign-tilin, rakentaa todellisen dokumentin — esimerkiksi 9 800 dollarin "laskun" verkon turvallisuuspalveluista väärältä toimittajalta — ja lähettää sen sinulle alustan normaalin allekirjoituspyyntövirtauksen kautta. DocuSign toimittaa sen mielellään. Sähköposti on todella peräisin DocuSignin infrastruktuurista, joten se sisältää kelvollisen todennuksen. Huijaus on dokumentissa: puhelinnumero, johon soittaa, tai ohjeet rahan siirtämiseen ennen kuin "hyväksyt" maksun. Ei haittaohjelmaa, ei väärennettyjä linkkejä, joita suodattimesi voisi saada kiinni. DocuSign on myöntänyt mallin ja varoittaa käyttäjiä, että sen omaa alustaansa käytetään vääriin tarkoituksiin.

Mikä johtaa vihreään raksutukseen ja siihen, miksi se valehtelee sinulle.

Kun sähköpostintarjoajasi kertoo sinulle, että viesti on "vahvistettu", se suorittaa kolme tarkistusta: SPF, DKIM ja DMARC. SPF vahvistaa, että viesti tuli palvelimesta, jonka sallittiin lähettää tälle domainille. DKIM lisää kryptografisen allekirjoituksen, joka todistaa, että viestiä ei muutettu siirron aikana. DMARC sitoo nämä kaksi yhteen ja kertoo vastaanottajille, mitä tehdä, jos ne epäonnistuvat. Kaikki kolme ovat todellisia, hyödyllisiä ja kannattaa olla. Tässä on kiinni: ne eivät koskaan ole olleet rakentuja ratkaisemaan tätä: ne vahvistavat kuka lähetti sähköpostin, ei onko se henkilö yrittämässä ryöstää sinua. DocuSignin todellisten palvelimien kautta lähetetty viesti läpäisee kaikki kolme kirkkaasti — koska se todella on DocuSignilta. Todentaminen toimii täsmälleen suunnitellusti. Se vain ei voi lukea aikomuksia.

Tämä on pehmeä paikka, jonka hyökkääjät ovat oppineet hyödyntämään mittakaavassa. Proofpoint, joka tutkii tätä ammatikseen, on dokumentoinut "oikeutetun palvelun väärinkäytön" nousun — kampanjoita, jotka ratsastavat luotettavilla alustoilla kuten DocuSign, PayPal, Microsoft ja Dropbox, juuri koska nämä domainit läpäisevät jokaisen todentamistarkistuksen ja harvoin estetään. PayPalin oma "rahanpyyntö"-ominaisuus on ollut suosikki samasta syystä: oikea PayPal-sähköposti, oikea PayPal-linkki, joka pyytää sinua riitautamaan maksun, jota ei koskaan tapahtunut, soittamalla numeroon, joka tavoittaa huijarin.

Mittakaava on epämukava osa. FBI:n Internet Crime Complaint Center kirjasi yli 16 miljardia dollaria ilmoitettuja tappioita vuonna 2024, ja yrityssähköpostin vaarantaminen — siisti, ei-haittaohjelmia sisältävä, näyttää-täysin-lailta-kategoria, johon nämä väärennökset kuuluvat — on muiden kalleimpien joukossa. Nämä eivät ole huolimattomia Nigerialaisen-prinssin sähköposteja. Ne ovat siistejä, brändättyjä ja todennettuja.

Mitä siis todella suojelee sinua, jos raksutus ei auta? Ei lähettäjää. Pyyntöä. Oikea lasku ei ole paniikkiaikavälin alla. Oikea allekirjoituspyyntö vastaa jotakin, jonka jo odotit. Kun dokumentti sanoo sinulle soittaa numeroon riitauttaaksesi maksun, jota et tunne, se on koko huijaus yhdessä lauseessa — koska oikea toimenpide on jättää sähköposti huomioimatta kokonaan ja kirjautua sisään yrityksen sivustolle itse, kirjoittamalla osoite käsin.

Raksutus kertoo sinulle, että kirje tuli oikeasta postista. Se ei kerro sinulle mitään siitä, mitä sisällä on kirjoitettu.