O Email de Phishing Que Veio Dos Próprios Servidores do DocuSign

Um criminoso não precisa falsificar o DocuSign. Ele pode simplesmente se cadastrar nele.

Esse é o detalhe que a maioria das pessoas erra sobre os emails de faturas falsas que chegam à sua caixa de entrada. Fomos treinados para procurar pelo sinal — o domínio com grafia errada, o endereço de remetente estranho, o link que vai para docus1gn-secure-login ponto não-sei-o-quê. Mas uma onda crescente dessas fraudes passa por todos os filtros limpa, porque os criminosos não estão se passando pelo DocuSign. Estão usando-o. Conta legítima, envelope real, email real enviado pelos servidores de correio reais do DocuSign.

Eis como funciona. Um atacante cria uma conta DocuSign legítima, constrói um documento real — digamos, uma "fatura" de $9.800 em serviços de segurança de rede de um fornecedor falso — e o envia através do fluxo normal de pedido de assinatura da plataforma. O DocuSign o entrega com prazer. O email genuinamente se originou da infraestrutura do DocuSign, portanto carrega autenticação válida. A fraude está dentro do documento: um número de telefone para ligar, ou instruções para transferir dinheiro antes de você "aprovar" uma cobrança. Sem malware, sem link falsificado para seu filtro pegar. O DocuSign reconheceu o padrão e avisa aos usuários que sua própria plataforma é abusada dessa forma.

O que nos leva ao visto verde, e por que ele está mentindo para você.

Quando seu provedor de email diz que uma mensagem está "verificada", ele está executando três verificações: SPF, DKIM e DMARC. SPF confirma que a mensagem veio de um servidor autorizado a enviar para esse domínio. DKIM adiciona uma assinatura criptográfica comprovando que a mensagem não foi adulterada em trânsito. DMARC une os dois e diz aos receptores o que fazer se falharem. Todos os três são reais, úteis e valem a pena ter. Aqui está a pegadinha: nunca foram construídos para resolver isto: eles verificam quem enviou o email, não se essa pessoa está tentando roubá-lo. Uma mensagem enviada através dos servidores reais do DocuSign passa pelos três com louvor — porque genuinamente é do DocuSign. A autenticação está funcionando exatamente como planejado. Só que não consegue ler intenção.

Esse é o ponto fraco que os atacantes aprenderam a explorar em larga escala. A Proofpoint, que pesquisa isso para viver, documentou um aumento em "abuso de serviço legítimo" — campanhas que aproveitam plataformas confiáveis como DocuSign, PayPal, Microsoft e Dropbox precisamente porque esses domínios passam por todas as verificações de autenticação e raramente são bloqueados. O próprio recurso de "pedido de dinheiro" do PayPal tem sido um favorito pela mesma razão: um email real do PayPal, com um link real do PayPal, pedindo que você dispute uma cobrança que nunca aconteceu ligando para um número que alcança o criminoso.

A escala é a parte incômoda. O Internet Crime Complaint Center do FBI registrou mais de $16 bilhões em perdas reportadas em 2024, com comprometimento de email comercial — a categoria polida, sem malware, parece-totalmente-legítimo a que essas falsificações pertencem — entre as mais caras. Esses não são emails de príncipe nigeriano descuidado. São limpos, marcados, e autenticados.

Então o que realmente o protege, se o visto verde não vai? Não o remetente. O pedido. Uma fatura real não tem um prazo de pânico. Um pedido de assinatura real corresponde a algo que você já estava esperando. Quando um documento diz para você ligar para um número para contestar uma cobrança que você não reconhece, essa é a fraude inteira em uma frase — porque o movimento legítimo é ignorar o email completamente e fazer login no site da empresa você mesmo, digitando o endereço manualmente.

O visto verde diz que a carta veio de um correio real. Não diz nada sobre o que está escrito dentro.

@@END@@