อีเมลฟิชชิ่งที่มาจากเซิร์ฟเวอร์ของ DocuSign เอง

ผู้หลอกลวงไม่จำเป็นต้องปลอมแปลง DocuSign พวกเขาสามารถลงทะเบียนใช้มันได้

นั่นคือส่วนที่คนส่วนใหญ่เข้าใจผิดเกี่ยวกับอีเมลใบแจ้งหนี้ปลอมที่ลงจอดในกล่องจดหมายของพวกเขา เราถูกฝึกให้มองหาสัญญาณที่ชัดเจน — โดเมนที่สะกดผิด ที่อยู่ผู้ส่งแปลกประหลาด ลิงก์ที่ไปยัง docus1gn-secure-login จุด อะไรสักอย่าง แต่กระแสใหญ่ที่เพิ่มขึ้นของกลลวงเหล่านี้ผ่านตัวกรองทั้งหมดอย่างสะอาด เพราะอาชญากรไม่ได้เลียนแบบ DocuSign เลย พวกเขาใช้มัน บัญชีที่แท้จริง ซองจดหมายที่แท้จริง อีเมลที่ส่งมาจากเซิร์ฟเวอร์เมลจริงของ DocuSign

นี่คือวิธีการทำงาน ผู้โจมตีสร้างบัญชี DocuSign ที่ถูกต้องตามกฎหมาย สร้างเอกสารจริง — เช่น "ใบแจ้งหนี้" สำหรับ $9,800 สำหรับบริการความปลอดภัยเครือข่ายจากผู้ขายปลอม — และส่งมันถึงคุณผ่านขั้นตอนการขอลายเซ็นแบบปกติของแพลตฟอร์ม DocuSign ยินดีจัดส่ง อีเมลมาจากโครงสร้างพื้นฐานของ DocuSign ได้อย่างแท้จริง ดังนั้นจึงมีการรับรองความถูกต้อง กลลวงนี้อยู่ในเอกสาร: เบอร์โทรศัพท์ที่จะโทร หรือคำแนะนำในการโอนเงินก่อนที่คุณจะ "อนุมัติ" ค่าใช้จ่าย ไม่มีมัลแวร์ ไม่มีลิงก์ปลอมสำหรับตัวกรองของคุณจะจับได้ DocuSign ยอมรับรูปแบบนี้และเตือนผู้ใช้ว่าแพลตฟอร์มของตัวเองได้รับการใช้ในทางที่ผิดวัตถุประสงค์แบบนี้

ซึ่งนำเรามายังเครื่องหมายถูกสีเขียว และเหตุใดมันจึงโกหกคุณ

เมื่อผู้ให้บริการอีเมลของคุณบอกคุณว่าข้อความนั้น "ได้รับการยืนยัน" มันกำลังทำการตรวจสอบสามอย่าง: SPF, DKIM และ DMARC SPF ยืนยันว่าข้อความนั้นมาจากเซิร์ฟเวอร์ที่ได้รับอนุญาตให้ส่งสำหรับโดเมนนั้น DKIM เพิ่มลายเซ็นการเข้ารหัสลับที่พิสูจน์ว่าข้อความไม่ได้ถูกแก้ไขระหว่างการส่ง DMARC เชื่อมโยงทั้งสองเข้าด้วยกันและบอกผู้รับว่าต้องทำอะไรหากพวกเขาล้มเหลว ทั้งสามอย่างนี้มีความเป็นจริง มีประโยชน์ และน่าสนใจที่จะมี นี่คือเคล็ดลับที่พวกมันไม่เคยถูกสร้างขึ้นเพื่อแก้ไข: พวกมัน ยืนยัน ใครส่งอีเมล ไม่ใช่ ว่าบุคคลนั้นพยายามปล้นคุณหรือไม่ ข้อความที่ส่งผ่านเซิร์ฟเวอร์จริงของ DocuSign ผ่านทั้งสามอย่างด้วยสีที่เด่นชัด — เพราะมันเป็นจาก DocuSign ได้อย่างแท้จริง การรับรองความถูกต้องกำลังทำงานตามการออกแบบ มันแค่ไม่สามารถอ่านจุดประสงค์ได้

นี่คือจุดอ่อนที่ผู้โจมตีได้เรียนรู้ที่จะใช้ประโยชน์ในระดับ Proofpoint ซึ่งวิจัยเรื่องนี้เพื่อยังชีพ ได้บันทึกการกระชั้นตัวใน "legitimate service abuse" — แคมเปญที่ขี่แพลตฟอร์มที่เชื่อถือได้เช่น DocuSign, PayPal, Microsoft และ Dropbox ตรงเพราะโดเมนเหล่านั้นผ่านการตรวจสอบความถูกต้องทั้งหมดและแทบไม่เคยถูกบล็อก ฟีเจอร์ "money request" ของ PayPal เอง ได้รับความชื่นชอบด้วยเหตุผลเดียวกัน: อีเมล PayPal จริง ลิงก์ PayPal จริง ขอให้คุณโต้แย้งค่าใช้จ่ายที่ไม่เคยเกิดขึ้นโดยการโทรหาเบอร์โทรศัพท์ที่เชื่อมต่อกับผู้หลอกลวง

ระดับนี้เป็นส่วนที่ไม่สบาย FBI's Internet Crime Complaint Center บันทึกการสูญเสียที่รายงานมากกว่า $16 billion ในปี 2024 โดยการประนีประนวมอีเมลธุรกิจ — หมวดหมู่ที่ขัดเกลา ไม่มีมัลแวร์ ดูเหมือนสมควรใจจริง ที่กลลวงเหล่านี้อยู่ — อยู่ในจำนวนที่มีค่าใช้จ่ายมากที่สุด นี่ไม่ใช่อีเมลเจ้าชายไนจีเรียที่ไม่รอบคอบ พวกเขาสะอาด ติดแบรนด์ และรับรองความถูกต้อง

แล้ว ถ้าเครื่องหมายถูกไม่ได้ปกป้องคุณ อะไรจึงจะได้? ไม่ใช่ผู้ส่ง คำขอ ใบแจ้งหนี้ที่แท้จริงไม่มีกำหนดเวลาที่หนุนหนัน คำขอลายเซ็นที่แท้จริงตรงกับสิ่งที่คุณคาดหวังอยู่แล้ว เมื่อเอกสารบอกให้คุณโทรหาเบอร์โทรศัพท์เพื่อโต้แย้งค่าใช้จ่ายที่คุณไม่รู้จัก นั่นคือกลลวงทั้งหมดในประโยคเดียว — เพราะการเคลื่อนไหวที่ถูกต้องคือการไม่สนใจอีเมลอย่างสิ้นเชิงและเข้าสู่ไซต์ของบริษัทด้วยตัวคุณเอง โดยพิมพ์ที่อยู่ด้วยมือ

เครื่องหมายถูกบอกคุณว่าจดหมายมาจากที่ทำการไปรษณีย์จริง มันไม่บอกคุณเรื่องใดเกี่ยวกับสิ่งที่เขียนไว้ข้างใน