Фишинговое письмо, пришедшее с собственных серверов DocuSign

Мошеннику не нужно подделывать DocuSign. Он просто может там зарегистрироваться.

В этом главная ошибка большинства людей, когда они сталкиваются с поддельными счётами-фактурами в своём почтовом ящике. Нас приучили искать улику — неправильное написание домена, странный адрес отправителя, ссылку на что-то вроде docus1gn-secure-login. Но растущая волна таких мошенничеств проходит сквозь все фильтры без задержек, потому что преступники вообще не выдают себя за DocuSign. Они используют его. Реальный аккаунт, реальный документ, реальное письмо, отправленное с собственных почтовых серверов DocuSign.

Вот как это работает. Злоумышленник создаёт легитимный аккаунт DocuSign, подготавливает реальный документ — скажем, «счёт-фактуру» на $9,800 за услуги сетевой безопасности от поддельного поставщика — и отправляет его вам через стандартный процесс запроса подписи платформы. DocuSign радостно его доставляет. Письмо действительно пришло из инфраструктуры DocuSign, поэтому оно имеет корректную аутентификацию. Мошенничество скрыто в самом документе: номер телефона для звонка или инструкции перевести деньги перед тем, как вы «одобрите» платёж. Никакого вредоноса, никакой поддельной ссылки, которую могли бы поймать фильтры. DocuSign признала такой паттерн и предупреждает пользователей, что её платформу используют таким образом.

Отсюда и появляется зелёная галочка — и почему она вас обманывает.

Когда почтовый провайдер говорит вам, что сообщение «проверено», он выполняет три проверки: SPF, DKIM и DMARC. SPF подтверждает, что сообщение пришло с сервера, авторизованного отправлять письма от этого домена. DKIM добавляет криптографическую подпись, доказывая, что письмо не было изменено в пути. DMARC связывает оба вместе и указывает получателям, что делать, если они не пройдены. Все три метода реальны, полезны и стоят того, чтобы их использовать. Вот в чём подвох — они никогда не были разработаны для решения этой проблемы: они проверяют кто отправил письмо, а не пытается ли этот человек вас ограбить. Письмо, отправленное через реальные серверы DocuSign, проходит все три проверки на отлично — потому что оно действительно от DocuSign. Аутентификация работает ровно так, как задумано. Просто она не может прочитать намерения.

Это слабое место, которое злоумышленники научились масштабно эксплуатировать. Proofpoint, которая занимается этим профессионально, задокументировала всплеск «абузов легитимных сервисов» — кампаний, использующих доверенные платформы вроде DocuSign, PayPal, Microsoft и Dropbox именно потому, что эти домены проходят все проверки аутентификации и редко блокируются. Функция PayPal «запрос денег» по той же причине стала любимой целью: реальное письмо от PayPal, реальная ссылка PayPal, просящая вас оспорить платёж, который никогда не происходил, позвонив на номер, который соединит вас с мошенником.

Масштаб здесь — вот что настораживает. Интернет-центр жалоб на преступления FBI (Internet Crime Complaint Center) зафиксировал потери на сумму более $16 миллиардов в 2024 году, и компрометация корпоративной электронной почты — отполированная, без вредоноса, выглядящая совершенно законной категория, к которой относятся такие подделки, — входит в число самых дорогостоящих. Это не неряшливые письма про нигерийского принца. Они аккуратные, брендированные и аутентифицированные.

Так что же вас действительно защищает, если галочка не помогает? Не отправитель. А просьба. Реальный счёт-фактура не имеет спешной крайней даты. Реальный запрос на подпись соответствует документу, который вы уже ожидали получить. Когда документ просит вас позвонить на номер, чтобы оспорить платёж, который вы не признаёте, это вся суть мошенничества в одном предложении — потому что правильный поступок — просто проигнорировать письмо и самостоятельно войти на сайт компании, набрав адрес вручную.

Галочка говорит вам, что письмо пришло из реальной почты. Она ничего не скажет вам о том, что написано внутри.