Фішингова електронна пошта, що прийшла з власних серверів DocuSign

Шахраю не потрібно підробляти DocuSign. Він може просто зареєструватися в ньому.

Це та частина, яку більшість людей неправильно розуміють щодо поддельних рахунків, які потрапляють в їхню поштову скриньку. Нас навчили шукати ознаки — помилка в написанні домену, дивна адреса відправника, посилання, яке веде на docus1gn-secure-login крапка щось. Але растуча хвиля таких шахрайств проходить кожен фільтр чистенько, тому що злочинці взагалі не видаються за DocuSign. Вони його використовують. Справжній облік, справжня конверт, справжня електронна пошта, відправлена з фактичних поштових серверів DocuSign.

От як це працює. Зловмисник створює законний обліковий запис DocuSign, складає справжній документ — скажімо, "рахунок" на суму $9800 за послуги мережевої безпеки від підробленого постачальника — і надсилає його вам через звичайний потік запиту на підпис платформи. DocuSign з задоволенням його доставляє. Електронна пошта справді походить з інфраструктури DocuSign, тому вона несе дійсну аутентифікацію. Шахрайство приховується всередині документа: номер телефону для звернення або інструкції щодо переводу грошей, перш ніж ви "затвердите" платіж. Жодного шкідливого програмного забезпечення, жодного підробленого посилання, яке фільтр міг би перехопити. DocuSign визнав цю схему і попереджує користувачів, що її платформу так зловживають.

Що нас і приводить до зеленої галочки, і чому вона вам брехати.

Коли ваш поштовий провайдер говорить вам, що повідомлення "перевірено", він виконує три перевірки: SPF, DKIM та DMARC. SPF підтверджує, що повідомлення прийшло з сервера, якому дозволено відправляти від цього домену. DKIM додає криптографічний підпис, який підтверджує, що повідомлення не було змінено під час передачі. DMARC поєднує обидва та повідомляє одержувачам, що робити, якщо вони не пройдуть. Усі три справжні, корисні і варті того, щоб їх мати. От у чому улапок — вони були ніколи не створені для вирішення цієї проблеми: вони перевіряють хто відправив електронну пошту, а не чи намагається ця людина вас обікрасти. Повідомлення, надіслане через справжні сервери DocuSign, проходить усі три з блиском — тому що воно справді від DocuSign. Аутентифікація працює саме так, як задумано. Вона просто не може прочитати намір.

Це та м'яка точка, яку зловмисники навчилися масштабно експлуатувати. Proofpoint, яка досліджує це професійно, задокументував стрімкий ріст "законного зловживання послугами" — кампаній, які їздять на надійних платформах, таких як DocuSign, PayPal, Microsoft та Dropbox, саме тому, що ці домени проходять кожну перевірку аутентифікації та рідко блокуються. Власна функція "запит грошей" PayPal була улюбленою з тієї самої причини: справжня електронна пошта PayPal, з реальним посиланням PayPal, яка просить вас оскаржити платіж, який ніколи не відбувся, телефонуючи на номер, що звертається до шахрая.

Масштаб — це незручна частина. Центр скарг про інтернет-злочини ФБР зареєстрував понад $16 млрд повідомлених збитків у 2024 році, причому компрометація ділової електронної пошти — витончена, без шкідливого ПО, виглядає цілком законно категорія, до якої належать ці підробки, — серед найдорожчих. Це не безладні листи про нігерійського принца. Вони чисті, з брендуванням і аутентифіковані.

Тож що насправді вас захищає, якщо галочка не допоможе? Не відправник. Прохання. Справжній рахунок не має терміну паніки. Справжній запит підпису відповідає чомусь, чого ви вже очікували. Коли в документі вам пропонується подзвонити на номер, щоб оскаржити платіж, який ви не признаєте, це весь шахрайство в одній фразі — тому що законний хід дій — зовсім ігнорувати електронну пошту і самостійно увійти на сайт компанії, набравши адресу вручну.

Галочка повідомляє вам, що лист прийшов із справжньої пошти. Вона не повідомляє вам нічого про те, що написано всередині.