Email Phishing yang Berasal dari Server DocuSign Sendiri

Penipu tidak perlu memalsukan DocuSign. Mereka hanya perlu mendaftar untuk menggunakannya.

Itulah bagian yang paling sering disalahpahami tentang email invoice palsu yang mendarat di inbox Anda. Kita telah dilatih untuk mencari tanda-tandanya — domain yang salah eja, alamat pengirim yang aneh, link yang mengarah ke docus1gn-secure-login dot sesuatu. Namun gelombang scam yang terus berkembang ini lolos dari setiap filter dengan bersih, karena penjahat sama sekali tidak menyamar sebagai DocuSign. Mereka menggunakannya. Akun asli, amplop asli, email asli yang dikirim dari server email DocuSign yang sebenarnya.

Begini cara kerjanya. Penyerang membuat akun DocuSign yang sah, membangun dokumen asli — katakanlah, sebuah "invoice" sebesar $9.800 untuk layanan keamanan jaringan dari vendor palsu — dan mengirimnya kepada Anda melalui alur permintaan tanda tangan normal platform. DocuSign dengan senang hati mengirimkannya. Email tersebut benar-benar berasal dari infrastruktur DocuSign, sehingga membawa autentikasi yang valid. Scam tersebut tersembunyi di dalam dokumen: nomor telepon untuk ditelepon, atau instruksi untuk mentransfer uang sebelum Anda "menyetujui" sebuah biaya. Tidak ada malware, tidak ada link palsu untuk ditangkap filter Anda. DocuSign telah mengakui pola ini dan memperingatkan pengguna bahwa platformnya sendiri disalahgunakan dengan cara ini.

Yang membawa kita ke tanda centang hijau, dan mengapa itu berbohong kepada Anda.

Ketika penyedia email Anda memberitahu Anda bahwa sebuah pesan "terverifikasi," itu menjalankan tiga pemeriksaan: SPF, DKIM, dan DMARC. SPF mengkonfirmasi bahwa pesan berasal dari server yang diizinkan untuk mengirim untuk domain tersebut. DKIM menambahkan tanda tangan kriptografis yang membuktikan pesan tidak dirusak selama transit. DMARC mengikatkan keduanya dan memberitahu penerima apa yang harus dilakukan jika gagal. Ketiga-tiganya nyata, berguna, dan layak untuk dimiliki. Berikut tangkapannya — mereka tidak pernah dibangun untuk menyelesaikan masalah ini: mereka memverifikasi siapa yang mengirim email, bukan apakah orang tersebut mencoba merampok Anda. Pesan yang dikirim melalui server asli DocuSign lulus ketiga-tiganya dengan sempurna — karena itu benar-benar dari DocuSign. Autentikasi bekerja persis seperti yang dirancang. Hanya saja tidak bisa membaca niat.

Ini adalah celah lunak yang telah dipelajari penyerang untuk dieksploitasi dalam skala besar. Proofpoint, yang meneliti ini untuk mencari nafkah, telah mendokumentasikan lonjakan dalam "legitimate service abuse" — kampanye yang memanfaatkan platform terpercaya seperti DocuSign, PayPal, Microsoft, dan Dropbox justru karena domain tersebut lulus setiap pemeriksaan autentikasi dan jarang diblokir. Fitur "money request" milik PayPal sendiri telah menjadi favorit untuk alasan yang sama: email PayPal asli, dengan link PayPal asli, meminta Anda untuk memperselisihkan sebuah biaya yang tidak pernah terjadi dengan memanggil nomor yang mencapai penipu.

Skalanya adalah bagian yang tidak nyaman. Internet Crime Complaint Center milik FBI mencatat lebih dari $16 miliar dalam kerugian yang dilaporkan pada 2024, dengan business email compromise — kategori yang bersih, tanpa malware, terlihat-totally-legit yang palsu ini termasuk — di antara yang paling mahal. Ini bukan email pangeran Nigeria yang ceroboh. Mereka bersih, bermerek, dan terautentikasi.

Jadi apa yang benar-benar melindungi Anda, jika tanda centang tidak akan? Bukan pengirimnya. Permintaannya. Invoice asli tidak memiliki batas waktu panik. Permintaan tanda tangan asli cocok dengan sesuatu yang sudah Anda harapkan. Ketika sebuah dokumen memberitahu Anda untuk memanggil nomor untuk memperselisihkan biaya yang tidak Anda kenali, itulah seluruh scam dalam satu kalimat — karena langkah yang sah adalah mengabaikan email sama sekali dan masuk ke situs perusahaan sendiri, dengan mengetik alamatnya dengan tangan.

Tanda centang memberitahu Anda bahwa surat itu berasal dari kantor pos asli. Itu tidak memberitahu Anda apa pun tentang apa yang tertulis di dalamnya.

@@END@@