Email-ul de phishing care a venit din propriile servere ale DocuSign

Un infractor nu trebuie să falsifice DocuSign. Poate pur și simplu să se înregistreze la acesta.

Asta e partea pe care o greșesc cei mai mulți oameni în privința email-urilor cu facturi false care ajung în inbox-ul lor. Am fost antrenați să căutăm indiciul — domeniul cu greșeli de ortografie, adresa ciudată a expeditorului, linkul care merge la docus1gn-secure-login dot ceva. Dar o undă în creștere a acestor escrocherii trece prin orice filtru curat, pentru că infractorii nu se dau drept DocuSign deloc. Îl folosesc. Cont real, plic real, email real trimis din serverele de mail actuale ale DocuSign.

Iată cum funcționează. Un atacator creează un cont DocuSign legitim, construiește un document real — de pildă, o „factură" pentru 9.800 de dolari pentru servicii de securitate a rețelei de la un furnizor fals — și ți-l trimite prin fluxul normal de cerere de semnare al platformei. DocuSign îl distribuie cu plăcere. Email-ul a provenit cu adevărat din infrastructura DocuSign, deci poartă autentificare validă. Escrocheria trăiește în interiorul documentului: un număr de telefon de apelat, sau instrucțiuni să faci o vânzare de bani înainte să „aprobi" o taxă. Fără malware, fără link falsificat pe care filtrul tău să îl prindă. DocuSign a recunoscut modelul și avertizează utilizatorii că propria platformă este abuzată în acest fel.

Ceea ce ne duce la bifa verde și de ce ți minte.

Când furnizorul tău de email îți spune că un mesaj este „verificat", rulează trei verificări: SPF, DKIM și DMARC. SPF confirmă că mesajul a venit de la un server autorizat să trimită pentru acel domeniu. DKIM adaugă o semnătură criptografică dovedind că mesajul nu a fost modificat în tranzit. DMARC leagă cele două și spune receptorilor ce să facă dacă acestea eșuează. Toate trei sunt reale, utile și merită să le ai. Iată capcanul: nu au fost niciodată construite pentru a rezolva asta: ele verifică cine a trimis email-ul, nu dacă acea persoană încearcă să te jefuiască. Un mesaj trimis prin serverele reale ale DocuSign trece prin toate trei cu zbateri — pentru că provine cu adevărat de la DocuSign. Autentificarea funcționează exact așa cum a fost proiectată. Pur și simplu nu poate citi intenția.

Asta e punctul slab pe care atacatorii au învățat să îl exploateze la scară largă. Proofpoint, care cercetează asta pentru a trăi, a documentat o creștere în „abuzul serviciilor legitime" — campanii care folosesc platforme de încredere cum sunt DocuSign, PayPal, Microsoft și Dropbox tocmai pentru că acele domenii trec prin fiecare verificare de autentificare și rar sunt blocate. Funcția proprie „money request" a PayPal a fost o favorită din același motiv: un email PayPal real, cu un link PayPal real, cerându-ți să contesti o taxă care nu s-a întâmplat niciodată apelând un număr care ajunge la escroc.

Scara e partea inconfortabilă. Internet Crime Complaint Center al FBI a înregistrat mai mult de 16 miliarde de dolari în pierderi raportate în 2024, cu compromiterea email-ului de afaceri — categoria polișată, fără malware, arată-total-legitim la care aparțin aceste falsuri — printre cele mai costisitoare. Acestea nu sunt email-uri neglijente cu prințul nigerian. Sunt curate, marcate și autentificate.

Atunci ce te protejează de fapt, dacă bifa nu va? Nu expeditorul. Cererea. O factură reală nu are o limită de timp de panică. O cerere reală de semnare se potrivește cu ceva pe care deja îl așteptai. Când un document îți spune să apelezi un număr pentru a contesta o taxă pe care nu o recunoști, aia e toată escrocheria într-o singură propoziție — pentru că mișcarea legitim e să ignori complet email-ul și să te conectezi pe site-ul companiei singur, tastând adresa cu mâna.

Bifa ți-o spune că scrisoarea a venit de la o poștă reală. Nu-ți spune nimic despre ce e scris în interior.