وہ فشنگ ای میل جو DocuSign کے اپنے سرورز سے آئی تھی

ایک سکیم باز کو DocuSign کی نقل کرنے کی ضرورت نہیں۔ وہ صرف اس میں سائن اپ کر سکتے ہیں۔

یہ وہ حصہ ہے جو زیادہ تر لوگ اپنے ان باکس میں آنے والی جعلی انوائس والی ای میلز کے بارے میں غلط سمجھتے ہیں۔ ہمیں علامات تلاش کرنے کے لیے تربیت دی گئی ہے — غلط ڈومین، عجیب سینڈر ایڈریس، وہ لنک جو docus1gn-secure-login dot کسی چیز کی طرف جاتا ہے۔ لیکن یہ سکیمز کی ایک بڑھتی ہوئی لہر ہر فلٹر کو صاف ستھرا نکل جاتی ہے، کیونکہ مجرمین DocuSign کی نقل نہیں کر رہے۔ وہ اسے استعمال کر رہے ہیں۔ اصل اکاؤنٹ، اصل انویلپ، اصل ای میل DocuSign کے اصل میل سرورز سے بھیجی گئی۔

یہ کام کیسے کرتا ہے۔ ایک حملہ آور ایک جائز DocuSign اکاؤنٹ بناتا ہے، ایک اصل دستاویز بناتا ہے — کہتے ہیں، ایک جعلی فروخت کنندہ کی طرف سے نیٹ ورک سیکیورٹی سروسز کے لیے "$9,800" کی "انوائس" — اور اسے پلیٹ فارم کے معمول کے دستخط کی درخواست کے بہاؤ کے ذریعے آپ کو بھیجتا ہے۔ DocuSign خوشی سے اسے ڈیلیور کرتا ہے۔ ای میل واقعی DocuSign کے انفراسٹرکچر سے آئی ہے، تو اس میں درست تصدیق ہے۔ سکیم دستاویز کے اندر رہتا ہے: کال کرنے کے لیے ایک فون نمبر، یا آپ کو کسی چیز کو "منظور" کرنے سے پہلے رقم منتقل کرنے کی ہدایات۔ کوئی میلویئر نہیں، کوئی جعلی لنک نہیں جو آپ کے فلٹر کو پکڑنے کے لیے ہو۔ DocuSign نے اس نمونے کو تسلیم کیا ہے اور صارفین کو انتباہ دیتا ہے کہ اس کا اپنا پلیٹ فارم اسی طریقے سے غلط استعمال ہوتا ہے۔

جو ہمیں سبز نشان کی طرف لے آتا ہے، اور یہ آپ سے جھوٹ کیوں بول رہا ہے۔

جب آپ کا ای میل فراہم کنندہ آپ کو بتاتا ہے کہ ایک پیغام "تصدیق شدہ" ہے، تو یہ تین چیکس چلا رہا ہے: SPF، DKIM، اور DMARC۔ SPF تصدیق کرتا ہے کہ پیغام اس ڈومین کے لیے بھیجنے کی اجازت والے سرور سے آیا ہے۔ DKIM ایک کرپٹوگرافک دستخط شامل کرتا ہے جو ثابت کرتا ہے کہ پیغام ترسیل میں تبدیل نہیں ہوا۔ DMARC دونوں کو ایک ساتھ جوڑتا ہے اور ریسیورز کو بتاتا ہے کہ اگر وہ ناکام ہوں تو کیا کریں۔ تینوں حقیقی، مفید، اور رکھنے کے قابلِ ہیں۔ یہاں پکڑ ہے — وہ کبھی اسے حل کرنے کے لیے نہیں بنائے گئے: وہ تصدیق کرتے ہیں کہ ای میل کو کس نے بھیجا، یہ نہیں کہ کیا وہ شخص آپ کو لوٹنے کی کوشش کر رہا ہے۔ DocuSign کے اصل سرورز کے ذریعے بھیجا گیا پیغام تینوں میں شاندار انداز میں پاس ہوتا ہے — کیونکہ یہ واقعی DocuSign سے ہے۔ تصدیق بالکل اسی طریقے سے کام کر رہی ہے جیسے ڈیزائن کیا گیا تھا۔ یہ صرف نیت پڑھ نہیں سکتا۔

یہ نرم جگہ ہے جسے حملہ آوروں نے بڑے پیمانے پر استعمال کرنا سیکھا ہے۔ Proofpoint، جو اس کے لیے تحقیق کرتا ہے، "جائز سروس کے غلط استعمال" میں ایک اضافے کو دستاویز کر چکا ہے — ایسی مہمات جو DocuSign، PayPal، Microsoft، اور Dropbox جیسے قابلِ اعتماد پلیٹ فارمز پر سوار ہوتی ہیں بالکل اس لیے کہ وہ ڈومینز ہر تصدیق کے چیک میں پاس ہوتے ہیں اور شاذ و نادر میں بند ہوتے ہیں۔ PayPal کی اپنی "رقم کی درخواست" کی خصوصیت بھی اسی وجہ سے پسندیدہ رہی ہے: ایک اصل PayPal ای میل، ایک اصل PayPal لنک کے ساتھ، آپ کو کسی ایسے چیز پر اعتراض کرنے کے لیے کہتے ہوئے جو کبھی نہیں ہوئی ایک فون نمبر پر کال کر کے جو سکیم باز تک پہنچتا ہے۔

پیمانہ وہ غیر آرام دہ حصہ ہے۔ FBI کے Internet Crime Complaint Center نے 2024 میں $16 بلین سے زیادہ بیان کردہ نقصانات درج کیے، بزنس ای میل سے سمجھوتہ — یہ صاف ستھرا، کوئی میلویئر نہیں، بالکل جائز لگتا ہے سطح — ان جعلیوں میں سب سے مہنگی میں سے ہے۔ یہ سست Nigerian-prince والی ای میلز نہیں ہیں۔ وہ صاف ستھری، برانڈیڈ، اور تصدیق شدہ ہیں۔

تو آپ کو کیا حقیقی طور پر محفوظ رکھتا ہے، اگر نشان نہیں؟ سینڈر نہیں۔ سوال۔ ایک اصل انوائس میں پیچیدہ ڈیڈ لائن نہیں ہوتی۔ ایک اصل دستخط کی درخواست کسی ایسی چیز سے میل کھاتی ہے جس کی آپ پہلے سے توقع کر رہے تھے۔ جب کوئی دستاویز آپ کو کسی ایسے چیز پر اعتراض کرنے کے لیے کال کرنے کو کہتی ہے جو آپ کو نہیں پہچانتے، تو یہ ایک جملے میں پوری سکیم ہے — کیونکہ جائز حرکت ای میل کو مکمل طور پر نظر انداز کرنا اور اپنے آپ کو کمپنی کی سائٹ میں درج کرنا ہے، ایڈریس کو ہاتھ سے ٹائپ کرتے ہوئے۔

نشان آپ کو بتاتا ہے کہ خط ایک اصل ڈاک خانے سے آیا ہے۔ یہ آپ کو اس بارے میں کچھ نہیں بتاتا کہ اندر کیا لکھا ہے۔

@@END@@