वह फिशिंग ईमेल जो DocuSign के अपने सर्वर से आया था

स्कैमर को DocuSign को जाली बनाने की जरूरत नहीं है। वह बस इसके लिए साइन अप कर सकता है।

यह वह हिस्सा है जो ज्यादातर लोग इन नकली-इनवॉइस ईमेल्स के बारे में गलत समझते हैं जो उनके इनबॉक्स में आ रहे हैं। हमें संकेत खोजने के लिए प्रशिक्षित किया गया है — गलत वर्तनी वाला डोमेन, अजीब सेंडर एड्रेस, वह लिंक जो docus1gn-secure-login dot कुछ और की ओर जाता है। लेकिन इन स्कैम्स की एक बढ़ती लहर हर फिल्टर से साफ निकल जाती है, क्योंकि अपराधी DocuSign का प्रतिरूपण बिल्कुल नहीं कर रहे हैं। वे इसका उपयोग कर रहे हैं। असली अकाउंट, असली एनवलप, DocuSign के वास्तविक मेल सर्वर से भेजा गया असली ईमेल।

यह काम कैसे करता है। एक हमलावर एक वैध DocuSign अकाउंट बनाता है, एक असली दस्तावेज़ बनाता है — कहते हैं, एक नकली विक्रेता से नेटवर्क सिक्योरिटी सेवाओं के लिए $9,800 का "इनवॉइस" — और इसे प्लेटफॉर्म के सामान्य हस्ताक्षर-अनुरोध प्रवाह के माध्यम से आपको भेजता है। DocuSign खुशी से इसे डिलीवर करता है। ईमेल वास्तव में DocuSign के बुनियादी ढांचे से आया है, इसलिए यह वैध प्रमाणीकरण के साथ आता है। स्कैम दस्तावेज़ के अंदर रहता है: कॉल करने के लिए एक फोन नंबर, या आप एक चार्ज को "मंजूरी" देने से पहले पैसे ट्रांसफर करने के निर्देश। कोई मैलवेयर नहीं, कोई स्पूफ किया गया लिंक नहीं जो आपकी फिल्टर को पकड़ने के लिए हो। DocuSign ने पैटर्न को स्वीकार किया है और उपयोगकर्ताओं को चेतावनी देता है कि इसका अपना मंच इसी तरह से दुरुपयोग किया जाता है।

जो हमें हरी निशानी पर लाता है, और यह आपसे झूठ क्यों बोल रहा है।

जब आपका ईमेल प्रदाता आपको बताता है कि एक संदेश "सत्यापित" है, तो वह तीन जांच चला रहा है: SPF, DKIM, और DMARC। SPF पुष्टि करता है कि संदेश उस डोमेन के लिए भेजने की अनुमति वाले सर्वर से आया है। DKIM एक क्रिप्टोग्राफिक हस्ताक्षर जोड़ता है जो साबित करता है कि संदेश पारगमन में छेड़छाड़ नहीं किया गया था। DMARC इन दोनों को एक साथ जोड़ता है और प्राप्तकर्ताओं को बताता है कि असफल होने पर क्या करना है। तीनों वास्तविक हैं, उपयोगी हैं, और होने के लायक हैं। यहाँ पकड़ है कि उन्हें कभी हल करने के लिए नहीं बनाया गया था: वे यह सत्यापित करते हैं कि ईमेल किसने भेजा, न कि क्या वह व्यक्ति आपको लूटने की कोशिश कर रहा है। DocuSign के वास्तविक सर्वर के माध्यम से भेजा गया एक संदेश तीनों को उड़ते रंगों में पास करता है — क्योंकि वह वास्तव में DocuSign से है। प्रमाणीकरण ठीक वैसे ही काम कर रहा है जैसे डिज़ाइन किया गया था। बस यह इरादे को नहीं पढ़ सकता।

यह वह नरम स्थान है जिसे हमलावरों ने बड़े पैमाने पर दोहन करना सीख लिया है। Proofpoint, जो इसके लिए शोध करता है, ने "वैध सेवा दुरुपयोग" में एक वृद्धि का दस्तावेज़ किया है — ऐसे अभियान जो DocuSign, PayPal, Microsoft, और Dropbox जैसे विश्वसनीय मंचों पर सवारी करते हैं, ठीक इसलिए क्योंकि वे डोमेन हर प्रमाणीकरण जांच से गुज़रते हैं और शायद ही कभी अवरुद्ध होते हैं। PayPal की अपनी "मनी रिक्वेस्ट" सुविधा एक ही कारण से पसंदीदा रही है: एक असली PayPal ईमेल, एक असली PayPal लिंक के साथ, आपसे एक ऐसे चार्ज को चुनौती देने के लिए कह रहा है जो कभी हुआ ही नहीं, एक नंबर पर कॉल करके जो स्कैमर तक पहुँचता है।

पैमाना ही असहज हिस्सा है। FBI की इंटरनेट क्राइम कंप्लेंट सेंटर ने 2024 में $16 बिलियन से अधिक की रिपोर्ट की गई हानि दर्ज की, व्यावसायिक ईमेल समझौते के साथ — सबसे अधिक खर्चीली श्रेणी जिसमें ये नकली ईमेल शामिल हैं। ये खस्ता नाइजीरियाई-राजकुमार ईमेल नहीं हैं। वे स्वच्छ, ब्रांडेड, और प्रमाणित हैं।

तो क्या वास्तव में आपकी रक्षा करता है, अगर निशानी नहीं करेगी? सेंडर नहीं। माँग। एक असली इनवॉइस में कोई घबराहट की समय सीमा नहीं है। एक असली हस्ताक्षर अनुरोध उस चीज़ से मेल खाता है जो आप पहले से ही प्रत्याशित थे। जब एक दस्तावेज़ आपको एक ऐसे चार्ज को चुनौती देने के लिए एक नंबर पर कॉल करने के लिए कहता है जिसे आप नहीं पहचानते हैं, तो वह एक ही वाक्य में पूरा स्कैम है — क्योंकि वैध कदम है ईमेल को पूरी तरह से नज़रअंदाज़ करना और कंपनी की साइट में खुद लॉगिन करना, पता को हाथ से टाइप करना।

निशानी आपको बताती है कि पत्र एक असली डाकघर से आया है। यह आपको नहीं बताती है कि अंदर क्या लिखा है।