DocuSign의 자체 서버에서 온 피싱 이메일

사기꾼이 DocuSign을 위조할 필요는 없습니다. 그냥 가입하면 됩니다.

이것이 대부분의 사람들이 받은편지함에 들어오는 가짜 청구서 이메일에 대해 놓치는 부분입니다. 우리는 그 단서를 찾도록 훈련받았습니다 — 오타난 도메인, 이상한 발신자 주소, docus1gn-secure-login 따위로 가는 링크 말입니다. 하지만 점점 늘어나는 이런 사기들은 모든 필터를 통과합니다. 왜냐하면 범죄자들이 DocuSign을 가장하지 않기 때문입니다. 그들은 DocuSign을 사용합니다. 실제 계정, 실제 문서, DocuSign의 실제 메일 서버에서 보낸 실제 이메일입니다.

작동 방식은 이렇습니다. 공격자가 정상적인 DocuSign 계정을 만들고 실제 문서 — 예를 들어 가짜 공급업체의 네트워크 보안 서비스에 대한 "청구서" $9,800 — 를 만든 후 플랫폼의 정상적인 서명 요청 절차를 통해 당신에게 보냅니다. DocuSign은 기꺼이 전달합니다. 이메일은 진정으로 DocuSign의 인프라에서 출발했으므로 유효한 인증을 갖고 있습니다. 사기는 문서 안에 있습니다: 전화할 전화번호, 또는 요금을 "승인"하기 전에 송금하라는 지시사항. 악성코드도 없고, 당신의 필터가 잡을 위조된 링크도 없습니다. DocuSign은 이 패턴을 인정했으며 자신의 플랫폼이 이런 방식으로 악용된다고 사용자들에게 경고합니다.

이제 초록색 체크표시와, 그것이 당신을 속이고 있는 이유로 들어갑니다.

이메일 제공자가 메시지가 "확인됨"이라고 말할 때, 세 가지 검사를 실행합니다: SPF, DKIM, DMARC. SPF는 메시지가 그 도메인에서 보낼 수 있도록 허용된 서버에서 왔는지 확인합니다. DKIM은 메시지가 전송 중에 변조되지 않았음을 증명하는 암호화 서명을 추가합니다. DMARC는 둘을 함께 묶고 실패할 경우 수신자가 무엇을 해야 하는지 알려줍니다. 셋 모두 실제이고, 유용하며, 가질 가치가 있습니다. 여기 함정이 있습니다. 이들은 누가 이메일을 보냈는지를 확인하도록 만들어졌지, 그 사람이 당신을 털려고 하는지는 확인하지 않습니다. DocuSign의 실제 서버를 통해 보낸 메시지는 모두 통과합니다 — 왜냐하면 그것이 진정으로 DocuSign에서 온 것이기 때문입니다. 인증은 정확히 설계된 대로 작동합니다. 단지 의도를 읽을 수 없을 뿐입니다.

이것이 공격자들이 대규모로 악용하는 방법을 배운 약점입니다. 이를 연구하는 Proofpoint는 "정상적인 서비스 악용" — DocuSign, PayPal, Microsoft, Dropbox 같은 신뢰할 수 있는 플랫폼을 이용한 캠페인의 급증을 문서화했습니다. 정확히 왜냐하면 이 도메인들은 모든 인증 검사를 통과하고 거의 차단되지 않기 때문입니다. PayPal의 자체 "송금 요청" 기능도 같은 이유로 즐겨 사용됩니다: 실제 PayPal 이메일, 실제 PayPal 링크, 발생하지 않은 요금을 분쟁 처리하라고 요청하는 링크인데 전화번호는 사기꾼에게 연결됩니다.

규모가 불편한 부분입니다. FBI의 Internet Crime Complaint Center는 2024년 $16 billion 이상의 보고된 손실을 기록했으며, 비즈니스 이메일 타협 — 이 가짜들이 속하는 세련되고 악성코드 없는, 완벽해 보이는 범주 — 는 가장 비싼 것들 중 하나입니다. 이것들은 서투른 나이지리아 왕자 이메일이 아닙니다. 깔끔하고, 브랜드되어 있으며, 인증되어 있습니다.

그렇다면 체크표시가 당신을 보호하지 못한다면, 무엇이 실제로 당신을 보호합니까? 발신자가 아닙니다. 요청입니다. 실제 청구서는 황급한 마감기한이 없습니다. 실제 서명 요청은 당신이 이미 예상하고 있던 것과 일치합니다. 문서가 당신이 알지 못하는 요금을 분쟁 처리하기 위해 전화번호로 전화하라고 말할 때, 그것이 바로 한 문장으로 요약된 전체 사기입니다 — 정상적인 대응은 이메일을 완전히 무시하고 회사 사이트에 직접 로그인하는 것이기 때문입니다. 주소를 손으로 입력하면서 말입니다.

체크표시는 편지가 실제 우체국에서 왔다고 말합니다. 그것은 안에 무엇이 쓰여 있는지에 대해서는 아무것도 말하지 않습니다.