דוא"ל הפישינג שהגיע משרתיה של DocuSign עצמה

לנוכל אין צורך זיוף של DocuSign. הוא יכול פשוט להירשם אליה.

זה החלק שרוב האנשים מבינים בצורה לא נכונה לגבי דוא"ל עם חשבונות מזויפים שנוחתים בתיבת הדוא"ל שלהם. אנחנו הורגלנו לחפש את הסימן המבלבל — התחום הכתוב בטעות, כתובת המשלח המוזרה, הקישור שמוביל לדומיין כמו docus1gn-secure-login נקודה משהו. אבל גל גדל של הונאות אלה עובר דרך כל מסנן בניקיון, כי הפושעים לא מתחזים ל-DocuSign בכלל. הם משתמשים בה. חשבון אמיתי, מעטפה אמיתית, דוא"ל אמיתי שנשלח משרתי הדוא"ל בפועל של DocuSign.

כך זה עובד. תוקף יוצר חשבון DocuSign לגיטימי, בונה מסמך אמיתי — למשל, "חשבונית" עבור $9,800 בשירותי אבטחת רשת מספק מזויף — ושולח אותו אליך דרך זרימת בקשת החתימה הנורמלית של הפלטפורמה. DocuSign משלחת אותו בשמחה. הדוא"ל נבע באמת מהתשתית של DocuSign, ולכן הוא נושא אימות חוקי. ההונאה חיה בתוך המסמך: מספר טלפון להתקשר אליו, או הוראות להעביר כסף לפני שאתה "מאשר" חיוב. אין תוכנה זדונית, אין קישור מזויף עבור המסנן שלך לתפוס. DocuSign הודתה בדפוס והזהירה משתמשים שהפלטפורמה שלה ניצלת בדרך זו.

דבר שמוביל אותנו לסימן הירוק, ולמה הוא משקר לך.

כאשר ספק הדוא"ל שלך אומר לך שהודעה "מאומתת", הוא מפעיל שלוש בדיקות: SPF, DKIM ו-DMARC. SPF מאשר שההודעה הגיעה משרת המורשה לשלוח עבור אותו דומיין. DKIM מוסיף חתימה קריפטוגרפית המוכיחה שההודעה לא הושתנתה בדרך. DMARC קושרת את השניים יחד ואומרת לקובלים מה לעשות אם הם נכשלים. כל שלוש הן אמיתיות, שימושיות, וכדאי שיהיו. הנה המלכוד — הן מעולם לא נבנו כדי לפתור: הן מאמתות מי שלח את הדוא"ל, לא האם האדם הזה מנסה לשדוד אותך. הודעה שנשלחה דרך שרתי DocuSign האמיתיים עוברת את כל השלוש בהצלחה — כי היא באמת מ-DocuSign. האימות עובד בדיוק כמו שנועד. זה פשוט לא יכול לקרוא כוונות.

זו הנקודה החלשה שתוקפים למדו לנצל בקנה מידה גדול. Proofpoint, שחוקרת זאת כעניין מקצועי, תיעדה עלייה ב"ניצול שירות לגיטימי" — קמפיינים שנוסעים על פלטפורמות מהימנות כמו DocuSign, PayPal, Microsoft ו-Dropbox בדיוק בגלל שתחומים אלה עוברים כל בדיקת אימות ורק לעתים נדירות מחוסמים. תכונת "בקשת הכסף" של PayPal עצמה הייתה אהובה מאותה סיבה: דוא"ל PayPal אמיתי, עם קישור PayPal אמיתי, המבקש ממך להעיר נגד חיוב שלעולם לא התרחש, על ידי התקשרות למספר המגיע לנוכל.

ההיקף הוא החלק הלא נוח. Internet Crime Complaint Center של ה-FBI רשם יותר מ-$16 billion בהפסדים שדווחו בשנת 2024, כאשר עקת דוא"ל עסקי — הקטגוריה המלוטשת, ללא תוכנה זדונית, נראית-לגמרי-לגיטימית שזויות אלה שייכות אליה — בין העלויות הגבוהות ביותר. אלו אינם דוא"ל רשלנים של נסיך ניגרי. הם נקיים, מעוצבים ומאומתים.

אז מה בעצם מגן עליך, אם הסימן הירוק לא יעזור? לא המשלח. השאלה. חשבונית אמיתית אין לה עלול דחוק. בקשת חתימה אמיתית תואמת משהו שכבר ציפית להוא. כאשר מסמך אומר לך להתקשר למספר כדי להעיר על חיוב שאתה לא מכיר, זה כל ההונאה במשפט אחד — כי ההצעה הלגיטימית היא להתעלם מהדוא"ל לחלוטין ולהכנס לאתר החברה בעצמך, בהקלדת הכתובת ביד.

הסימן הירוק אומר לך שהמכתב הגיע מדואר אמיתי. זה לא אומר לך כלום על מה שכתוב בתוכו.