DocuSign自体のサーバーから送られてきたフィッシングメール

詐欺師がDocuSignを偽造する必要はありません。アカウントにサインアップするだけで十分です。

これが、受信箱に届く偽の請求メールについて、ほとんどの人が誤解している部分です。私たちは、その痕跡を見つけるように訓練されてきました。スペルが間違ったドメイン、変な送信者アドレス、docus1gn-secure-loginのような何かへのリンク。しかし、これらの詐欺の増加する波は、すべてのフィルターを素通りして届きます。犯人がDocuSignになりすましているのではなく、DocuSignを使用しているからです。本物のアカウント、本物のエンベロープ、DocuSignの実際のメールサーバーから送信された本物のメール。

仕組みはこうです。攻撃者は正当なDocuSignアカウントを作成し、実際のドキュメント（たとえば、偽のベンダーからのネットワークセキュリティサービスの「請求書」で9,800ドル）を構築し、プラットフォームの通常の署名リクエストフローを通じてあなたに送信します。DocuSignは喜んでそれを配信します。メールは本当にDocuSignのインフラストラクチャから発信されているため、有効な認証を備えています。詐欺はドキュメント内に存在します。電話番号を呼び出す、またはあなたが料金を「承認」する前に送金するよう指示します。マルウェアなし、フィルターが検出するための偽のリンクなし。DocuSignはこのパターンを認識し、ユーザーに独自のプラットフォームがこのように悪用されることを警告しています。

ここで緑色のチェックマークが登場し、それがなぜあなたに嘘をついているのか。

メールプロバイダーがメッセージが「確認済み」と表示するとき、3つのチェックを実行しています。SPF、DKIM、およびDMARC。SPFはメッセージがそのドメイン向けに送信することを許可されたサーバーから来たことを確認します。DKIMは暗号署名を追加して、メッセージが転送中に改ざんされていないことを証明します。DMARCは2つを結びつけ、受信者に失敗した場合に何をするかを指示します。3つすべてが本物で、有用で、保持する価値があります。ここが問題です。これらは解決するために構築されたことがありません。彼らはメールを送ったのは誰かを検証しますが、その人があなたを略奪しようとしているかどうかは検証しません。DocuSignの実際のサーバーを通じて送信されたメッセージは、3つすべてに合格します。本当にDocuSignから来ているからです。認証は設計どおりに機能しています。単に意図を読むことはできません。

これは、攻撃者が大規模に悪用することを学んだ弱点です。このために研究しているProofpointは、「正当なサービスの悪用」の増加を文書化しました。DocuSign、PayPal、Microsoft、Dropboxなどの信頼されたプラットフォームに乗じるキャンペーンです。これらのドメインはすべての認証チェックに合格し、ブロックされることはめったにないからです。PayPal独自の「マネーリクエスト」機能は同じ理由で好まれています。本物のPayPalメール、本物のPayPalリンク、決して発生しなかった料金に異議を唱えるよう求め、詐欺師に到達する番号に電話するよう指示しています。

規模が不快な部分です。FBIのインターネット犯罪苦情センターは、2024年に報告された損失で16億ドルを超えるログを記録しており、ビジネスメール侵害（これらの偽物が属するポーランド、マルウェアなし、完全に正当に見える側面）が最も費用がかかります。これらは乱雑なナイジェリアの王子のメールではありません。清潔で、ブランド化された、認証されています。

では、チェックマークが役に立たない場合、実際には何があなたを保護しますか。送信者ではなく。要求です。本物の請求書には、パニックの期限がありません。本物の署名リクエストは、既に期待していたものと一致します。ドキュメントが認識していない料金に異議を唱えるために番号に電話するよう指示したとき、それは1つの文で詐欺全体です。なぜなら、正当な方法は、メールを完全に無視し、会社のサイトに自分でログインし、アドレスを手で入力することだからです。

チェックマークは、手紙が本物の郵便局から来たことを示しています。それは、内部に何が書かれているかについては何も示していません。