L'email di phishing arrivata dai server di DocuSign

Un truffatore non ha bisogno di falsificare DocuSign. Può semplicemente iscriversi.

È la parte che la maggior parte delle persone sbaglia riguardo alle email di fatture false che arrivano nella loro inbox. Ci è stato insegnato a cercare l'indizio — il dominio con l'errore di ortografia, l'indirizzo mittente strano, il link che rimanda a docus1gn-secure-login punto chissà-cosa. Ma un'ondata crescente di queste truffe passa attraverso ogni filtro pulito, perché i criminali non stanno affatto impersonando DocuSign. Lo stanno usando. Account vero, envelope reale, email vera inviata dai server di posta effettivi di DocuSign.

Ecco come funziona. Un attaccante crea un account DocuSign legittimo, costruisce un documento reale — diciamo, una "fattura" per 9.800 dollari per servizi di sicurezza di rete da un fornitore falso — e te lo invia attraverso il flusso normale di richiesta di firma della piattaforma. DocuSign lo consegna volentieri. L'email proviene genuinamente dall'infrastruttura di DocuSign, quindi porta un'autenticazione valida. La truffa vive dentro il documento: un numero di telefono da chiamare, oppure istruzioni per fare un bonifico prima di "approvare" un addebito. Nessun malware, nessun link falsificato per il filtro da catturare. DocuSign ha riconosciuto il pattern e avverte gli utenti che la sua stessa piattaforma viene abusata in questo modo.

Arriviamo così al segno di spunta verde, e perché ti sta mentendo.

Quando il tuo provider di posta ti dice che un messaggio è "verificato", sta eseguendo tre controlli: SPF, DKIM e DMARC. SPF conferma che il messaggio proviene da un server autorizzato a inviare per quel dominio. DKIM aggiunge una firma crittografica che prova il messaggio non è stato alterato in transito. DMARC lega i due insieme e dice ai destinatari cosa fare se falliscono. Tutti e tre sono reali, utili e vale la pena averli. Ecco il problema: non sono mai stati costruiti per risolvere questo: verificano chi ha inviato l'email, non se quella persona sta cercando di rubarti. Un messaggio inviato attraverso i server veri di DocuSign passa tutti e tre con risultati eccellenti — perché proviene genuinamente da DocuSign. L'autenticazione funziona esattamente come progettato. Semplicemente non riesce a leggere l'intenzione.

Questo è il punto debole che gli attaccanti hanno imparato a sfruttare su larga scala. Proofpoint, che lo ricerca di mestiere, ha documentato un'impennata negli "abusi di servizi legittimi" — campagne che sfruttano piattaforme affidabili come DocuSign, PayPal, Microsoft e Dropbox proprio perché quei domini passano ogni controllo di autenticazione e raramente vengono bloccati. La funzione "money request" di PayPal è stata un preferito per lo stesso motivo: un'email PayPal vera, con un link PayPal vero, che ti chiede di contestare un addebito che non è mai avvenuto chiamando un numero che raggiunge il truffatore.

La scala è la parte scomoda. L'Internet Crime Complaint Center dell'FBI ha registrato più di 16 miliardi di dollari in perdite denunciate nel 2024, con il compromesso della posta aziendale — la categoria elegante, senza malware, che sembra totalmente legittima in cui rientrano queste false comunicazioni — tra i più costosi. Non sono email sciatte alla "principe nigeriano". Sono pulite, brandizzate e autenticate.

Quindi cosa ti protegge davvero, se il segno di spunta non lo farà? Non il mittente. La richiesta. Una fattura vera non ha una scadenza di panico. Una vera richiesta di firma corrisponde a qualcosa che ti aspettavi già. Quando un documento ti dice di chiamare un numero per contestare un addebito che non riconosci, quella è l'intera truffa in una frase — perché la mossa legittima è ignorare completamente l'email e accedere al sito dell'azienda da solo, digitando l'indirizzo a mano.

Il segno di spunta ti dice che la lettera proveniva da un vero ufficio postale. Non ti dice nulla su ciò che c'è scritto dentro.