De phishing-email die rechtstreeks van DocuSign's servers kwam

Een oplichter hoeft DocuSign niet na te bootsen. Ze kunnen zich er gewoon voor inschrijven.

Dat is het punt dat de meeste mensen missen over de nepfacturen die in hun inbox belanden. We zijn getraind om naar het bewijs te zoeken — het verkeerd gespelde domein, het vreemde afzenderadres, de link die naar docus1gn-secure-login-dot-iets wijst. Maar een groeiende golf van deze zwendels passeert elk filter probleemloos, omdat de criminelen DocuSign helemaal niet nadoen. Ze gebruiken het. Echt account, echt document, echte email verstuurd van DocuSign's eigen mailservers.

Zo werkt het. Een aanvaller maakt een legitiem DocuSign-account aan, bouwt een echt document — zeg, een "factuur" voor $9.800 voor netwerkbeveiligingsdiensten van een nepverkoper — en stuurt het naar je via de normale handtekeningverzoekaanvraag van het platform. DocuSign bezorgt het graag. De email is werkelijk afkomstig van DocuSign's infrastructuur, dus draagt het geldige authenticatie. De zwendel zit in het document: een telefoonnummer om te bellen, of instructies om geld over te maken voordat je een lading "goedkeurt". Geen malware, geen vervalste link voor je filter om op te pikken. DocuSign heeft het patroon erkend en waarschuwt gebruikers dat het eigen platform op deze manier wordt misbruikt.

Wat ons brengt bij het groene vinkje, en waarom het je bedriegt.

Wanneer je e-mailprovider je vertelt dat een bericht "geverifieerd" is, voert het drie controles uit: SPF, DKIM en DMARC. SPF bevestigt dat het bericht afkomstig is van een server die bevoegd is om voor dat domein te verzenden. DKIM voegt een cryptografische handtekening toe die bewijst dat het bericht onderweg niet is gewijzigd. DMARC verbindt de twee en vertelt ontvangers wat ze moeten doen als ze mislukken. Alle drie zijn echt, nuttig en waardevol om te hebben. Hier is het addertje onder het gras: ze verifiëren wie de email heeft verstuurd, niet of die persoon je probeert te beroven. Een bericht dat via DocuSign's echte servers wordt verzonden, passeert alle drie zonder problemen — omdat het werkelijk van DocuSign afkomstig is. De authenticatie werkt precies zoals ontworpen. Het kan alleen geen opzet lezen.

Dit is de zwakke plek die aanvallers op schaal hebben leren uit te buiten. Proofpoint, dat hier voor een baan onderzoek naar doet, heeft een toename van "misbruik van legitieme services" gedocumenteerd — campagnes die vertrouwde platforms zoals DocuSign, PayPal, Microsoft en Dropbox benutten, precies omdat die domeinen elke authenticatiecontrole doorstaan en zelden worden geblokkeerd. PayPal's eigen "geldeisenfunctie" is om dezelfde reden een favoriet geweest: een echte PayPal-email, met een echte PayPal-link, waarin je wordt gevraagd een lading te betwisten die nooit heeft plaatsgevonden door een nummer te bellen dat de oplichter bereikt.

De schaal is het ongemakkelijke deel. Het Internet Crime Complaint Center van de FBI registreerde meer dan $16 miljard aan gerapporteerde verliezen in 2024, waarbij zakelijke e-mailcompromis — de gepolijste, geen-malware, ziet-er-totaal-legaal-uit-categorie waarvan deze vervalsingen deel uitmaken — onder de duurste is. Dit zijn geen slordig Nigerian-prince-emails. Ze zijn schoon, gelabeld en geverifieerd.

Dus wat beschermt je eigenlijk, als het vinkje niet doet? Niet de afzender. De vraag. Een echte factuur heeft geen paniek-deadline. Een echt handtekeningverzoek komt overeen met iets wat je al verwachtte. Wanneer een document je vertelt een nummer te bellen om een lading te betwisten die je niet herkent, dat is de hele zwendel in één zin — omdat de legitieme stap is om de email volledig te negeren en jezelf in te loggen op de site van het bedrijf, door het adres met de hand in te typen.

Het vinkje vertelt je dat de brief van een echt postkantoor kwam. Het zegt je niets over wat erin geschreven staat.