Det nätfiskemail som kom från DocuSignsegna servrar

En bedragare behöver inte förfalska DocuSign. De kan bara registrera sig för det.

Det är den delen som de flesta får fel på när det gäller de falska fakturaemail som landar i deras inkorg. Vi har tränats att leta efter tecknet — det felstavade domännamnet, den konstig avsändaradress, länken som går till docus1gn-secure-login dot något. Men en växande våg av dessa bedrägerier glider genom varje filter rent, eftersom kriminella inte utger sig för att vara DocuSign alls. De använder det. Riktigt konto, riktigt kuvert, riktigt email skickat från DocuSignsegna faktiska postserver.

Så här fungerar det. En angripare skapar ett legitimt DocuSign-konto, bygger ett verkligt dokument — säg, en "faktura" på $9 800 för nätverkssäkerhetstjänster från en falsk säljare — och skickar det till dig genom plattformens normala signeringsflöde. DocuSign levererar det gladeligen. Email härstammade genuint från DocuSignsegna infrastruktur, så det bär giltig autentisering. Bedrägeriet bor inne i dokumentet: ett telefonnummer att ringa, eller instruktioner för att överföra pengar innan du "godkänner" en avgift. Ingen skadlig kod, ingen falsk länk för ditt filter att fånga. DocuSign har erkänt mönstret och varnar användare om att dess egen plattform missbrukas på det här sättet.

Vilket för oss till det gröna godkännandet, och varför det ljuger för dig.

När din e-postleverantör säger att ett meddelande är "verifierat" kör den tre kontroller: SPF, DKIM och DMARC. SPF bekräftar att meddelandet kom från en server som tillåts skicka för den domänen. DKIM lägger till en kryptografisk signatur som bevisar att meddelandet inte manipulerades under överföringen. DMARC binder de två tillsammans och säger mottagarna vad de ska göra om de misslyckas. Alla tre är verkliga, användbara och värda att ha. Här är snåret de aldrig byggdes för att lösa: de verifierar vem som skickade email, inte om den personen försöker råna dig. Ett meddelande skickat genom DocuSignsegna riktiga servrar klarar alla tre med flygande färger — eftersom det verkligen är från DocuSign. Autentiseringen fungerar exakt som utformad. Det kan bara inte läsa avsikt.

Det här är den mjuka punkten som angripare har lärt sig att exploatera i stor skala. Proofpoint, som forskar om detta för sitt försörjning, har dokumenterat en ökning i "missbruk av legitim tjänst" — kampanjer som åker på pålitliga plattformar som DocuSign, PayPal, Microsoft och Dropbox exakt för att dessa domäner klarar alla autentiseringskontroller och sällan blockeras. PayPals egen "pengarförfrågan"-funktion har varit en favorit av samma anledning: ett verkligt PayPal-email, med en verklig PayPal-länk, som ber dig bestrida en avgift som aldrig hände genom att ringa ett nummer som når bedragaren.

Skalan är den obehagliga delen. FBIs Internet Crime Complaint Center loggade mer än $16 miljarder i rapporterade förluster under 2024, med business email compromise — den polerade, ingen-skadlig-kod, ser-helt-legitim kategorin dessa förfalskningar tillhör — bland de dyraste. Det här är inte slarviga nigerianske-prins-email. De är rena, varumärkta och autentiserade.

Så vad skyddar du faktiskt, om godkännandet inte gör det? Inte avsändaren. Förfrågan. En verklig faktura har ingen panikkadlinje. En verklig signeringsbegäran motsvarar något du redan förväntade dig. När ett dokument säger åt dig att ringa ett nummer för att bestrida en avgift du inte känner igen, det är hela bedrägeriet i en mening — för att det legitima draget är att ignorera email helt och hållet och logga in på företagets webbplats själv, skriva adressen för hand.

Godkännandet säger dig att brevet kom från ett riktigt postkontor. Det säger ingenting om vad som är skrivet inuti.