E-mail phishingowy, który przyszedł z serwerów samego DocuSign

Oszust nie musi podrabiać DocuSign. Może po prostu się do niego zarejestrować.

To właśnie część, którą większość osób źle rozumie, gdy chodzi o e-maile z fałszywymi fakturami lądujące w ich skrzynce. Byliśmy przeszkoleni, aby szukać oznak — błędnie napisanej domeny, dziwnego adresu nadawcy, linku prowadzącego do docus1gn-secure-login coś tam. Ale rosnąca fala tych oszustw przechodzi przez każdy filtr bez problemu, ponieważ przestępcy w ogóle nie podrabiają DocuSign. Korzystają z niego. Rzeczywiste konto, rzeczywista koperta, rzeczywisty e-mail wysłany z rzeczywistych serwerów pocztowych DocuSign.

Oto jak to działa. Atakujący tworzy legalny rachunek DocuSign, buduje rzeczywisty dokument — powiedzmy, „fakturę" za 9800 dolarów za usługi bezpieczeństwa sieci od fikcyjnego dostawcy — i wysyła go do ciebie poprzez normalny przepływ żądania podpisu platformy. DocuSign chętnie go dostarcza. E-mail rzeczywiście pochodzi z infrastruktury DocuSign, więc ma ważne uwierzytelnienie. Oszustwo mieszka w dokumencie: numer telefonu do zadzwonienia lub instrukcje dotyczące przelewu pieniędzy, zanim „zatwierdzisz" opłatę. Brak złośliwego oprogramowania, brak podrabianego linku do złapania przez twój filtr. DocuSign przyznał się do tego wzorca i ostrzega użytkowników, że jego własna platforma jest w ten sposób nadużywana.

Co nas prowadzi do zielonego haczyka i dlaczego okłamuje cię.

Gdy twój dostawca poczty e-mail mówi ci, że wiadomość jest „zweryfikowana", uruchamia trzy sprawdzenia: SPF, DKIM i DMARC. SPF potwierdza, że wiadomość pochodzi z serwera uprawnionego do wysyłania dla tej domeny. DKIM dodaje podpis kryptograficzny potwierdzający, że wiadomość nie została zmieniona podczas przesyłu. DMARC łączy oba razem i informuje odbiorców, co zrobić, jeśli one zawiedą. Wszystkie trzy są rzeczywiste, przydatne i warte posiadania. Oto przeszkoda — nigdy nie zostały zbudowane, aby rozwiązać: weryfikują kto wysłał e-mail, nie czy ta osoba próbuje cię okraść. Wiadomość wysłana przez rzeczywiste serwery DocuSign przechodzi wszystkie trzy z łatwością — ponieważ rzeczywiście pochodzi od DocuSign. Uwierzytelnienie działa dokładnie tak, jak zaprojektowano. Po prostu nie potrafi odczytać intencji.

To jest miękkie miejsce, które atakujący nauczyli się eksploatować na dużą skalę. Proofpoint, które bada to zawodowo, dokumentuje wzrost „nadużycia legalnych usług" — kampanii, które korzystają z zaufanych platform takich jak DocuSign, PayPal, Microsoft i Dropbox, właśnie dlatego, że te domeny przechodzą każde sprawdzenie uwierzytelnienia i rzadko są blokowane. Funkcja „żądania pieniędzy" samego PayPala była ulubioną z tego samego powodu: rzeczywisty e-mail PayPal, z rzeczywistym linkiem PayPal, proszący cię o zgłoszenie sprzeciwu wobec opłaty, która nigdy nie miała miejsca, dzwoniąc na numer, który dzwoni do oszusta.

Skala to niepokojąca część. Internetowe Centrum Przyjmowania Skarg FBI zarejestrowało ponad 16 miliardów dolarów w zgłoszonych stratach w 2024 roku, przy czym złośliwa korespondencja biznesowa — elegancka, wolna od złośliwego oprogramowania, całkowicie wiarygodna kategoria, do której należą te fałszywki — należy do najkosztowniejszych. To nie są nieudolne e-maile od nigeryjskiego księcia. Są czyste, oznakowane marką i uwierzytelnione.

Co więc rzeczywiście cię chroni, jeśli haczyk nie pomoże? Nie nadawca. Prośba. Rzeczywista faktura nie ma paniki terminu. Rzeczywiste żądanie podpisu pasuje do czegoś, czego już się spodziewałeś. Gdy dokument mówi ci, aby zadzwonił na numer w celu zgłoszenia sprzeciwu wobec opłaty, której nie rozpoznajesz, to całe oszustwo w jednym zdaniu — ponieważ legalnym posunięciem jest całkowicie zignorowanie e-maila i zalogowanie się na stronie firmy samodzielnie, wpisując adres ręcznie.

Haczyk mówi ci, że list przyszedł z rzeczywistej poczty. Nie mówi ci nic o tym, co jest napisane w środku.