Az a phishing email, amely a DocuSign saját szerveréről érkezett

A csaló nem kell, hogy hamisítsa a DocuSignt. Egyszerűen regisztrálhat rá.

Ez az a rész, amit a legtöbben rosszul értelmeznek az olyan hamis-számla emailekben, amelyek beérkeznek a postafiókjukba. Azt tanítottunk meg magunknak, hogy a jelekre figyeljünk — a helytelenül írt tartomány, a furcsa feladócím, a link, amely a docus1gn-secure-login-dot-valami címre mutat. De a csalások egy egyre növekvő hulláma tisztán átvág minden szűrőn, mert a bűnözők egyáltalán nem DocuSignt utánoznak. Használják. Valódi fiók, valódi boríték, valódi email a DocuSign tényleges levelezési szerveréről.

Így működik. Egy támadó létrehoz egy legítim DocuSign-fiókot, készít egy valódi dokumentumot — mondjuk egy 9 800 dolláros „számlát" egy hamis szállítótól hálózati biztonsági szolgáltatásokért — és elküldi azt Önnek a platform normál aláírási kérési folyamatán keresztül. A DocuSign boldogan kézbesíti. Az email valóban a DocuSign infrastruktúrájából ered, így érvényes hitelesítési adatokkal bír. A scam a dokumentumon belül lakik: egy telefonszám, amelyet fel kell hívni, vagy utasítások a pénz átutalására, mielőtt „jóváhagyná" a díjat. Nincs malware, nincs hamis link, amit a szűrő elkaphatna. A DocuSign elismerte a mintázatot, és figyelmezteti a felhasználókat, hogy saját platformjukat így visszaélésre használják.

Ez azt eredményezi, hogy a zöld pipa lehetséges, és miért hazudik Önnek.

Amikor az e-mail-szolgáltató azt mondja, hogy egy üzenet „ellenőrzött", három ellenőrzést futtat: SPF, DKIM és DMARC. Az SPF megerősíti, hogy az üzenet olyan szerverről érkezett, amely jogosult az adott tartomány nevében üzeneteket küldeni. A DKIM kriptográfiai aláírást ad hozzá, amely bizonyítja, hogy az üzenet nem módosult az átvitel során. A DMARC összeköti a kettőt, és közli a címzettekkel, hogy mi a teendő, ha meghibásodnak. Mindhárom valódi, hasznos, és érdemes megszerezni. Íme a csapda: ezek sohasem voltak arra kialakítva, hogy megoldják: ki küldte az emailt, nem pedig azt, hogy ez a személy meg akarja-e rabolni Önt. A DocuSign valódi szerverain keresztül küldött üzenet az összes három ellenőrzésen maximális pontszámmal átmegy — mert valóban a DocuSigntól érkezik. A hitelesítés pontosan az előírásoknak megfelelően működik. Egyszerűen nem tud szándékot olvasni.

Ez az a puha pont, amelyet a támadók nagy léptékben kiaknázni tanultak. A Proofpoint, amely ezt kutatja, dokumentált egy "legítim szolgáltatás visszaélésének" hullámát — kampányok, amelyek olyan megbízható platformokon jönnek mozgásba, mint a DocuSign, PayPal, Microsoft és Dropbox, pontosan azért, mert ezek a tartományok átmennek minden hitelesítési ellenőrzésen, és ritkán lesznek blokkolva. A PayPal saját „pénzkérési" funkciója ugyanebből az okból volt kedvelt: egy valódi PayPal-email, egy valódi PayPal-link, amely azt kéri, hogy vitatja meg a sohasem megtörtént díjat, ha hívást kezdeményez egy szám felé, amely a csalóhoz vezet.

A méret az kínos rész. Az FBI Internet Crime Complaint Center több mint 16 milliárd dolláros bejelentett veszteséget rögzített 2024-ben, az üzleti email-kompromisszió — a csiszolt, nincs malware, teljesen legitim kategória, amelyhez ezek a hamisítások tartoznak — a legköltségesebb közül van. Ezek nem balul sikerült nigériai-herceg emailek. Tiszták, márkajelzésűek és hitelesítettek.

Akkor mi véd meg valóban, ha a pipa nem fog? Nem a feladó. A kérés. Egy valódi számla nem rendelkezik pánik időhatárral. Egy valódi aláírási kérés illeszkedik valamihez, amire már számított. Amikor egy dokumentum azt mondja, hogy hívjon fel egy számot, hogy vitasson meg egy töltést, amelyet nem ismer, az az egész scam egy mondatban — mert a legális lépés, hogy teljesen figyelmen kívül hagyja az emailt, és maga bejelentkezik a vállalat weboldalára, kézzel begépelve a címet.

A pipa azt közli, hogy a levél egy valódi postahivatalból érkezett. Semmi sem közli, hogy mi van belül írva.