Email Phishing Được Gửi Từ Các Máy Chủ Của DocuSign

Kẻ lừa đảo không cần phải giả mạo DocuSign. Họ chỉ cần đăng ký sử dụng nó.

Đó là phần mà hầu hết mọi người hiểu sai về các email hóa đơn giả đang tấn công hộp thư của họ. Chúng ta đã được huấn luyện để tìm kiếm những dấu hiệu — miền có lỗi chính tả, địa chỉ người gửi lạ, liên kết dẫn đến docus1gn-secure-login chấm cái gì đó. Nhưng một làn sóng ngày càng lớn của những trò lừa này vượt qua mọi bộ lọc một cách sạch sẽ, vì tội phạm nhân không phải là giả mạo DocuSign. Họ đang sử dụng nó. Tài khoản thật, phong bì thật, email thật được gửi từ các máy chủ thư của DocuSign.

Dưới đây là cách nó hoạt động. Một kẻ tấn công tạo một tài khoản DocuSign hợp pháp, xây dựng một tài liệu thật — chẳng hạn, một "hóa đơn" cho $9,800 cho các dịch vụ bảo mật mạng từ một nhà cung cấp giả — và gửi nó cho bạn thông qua luồng yêu cầu ký bình thường của nền tảng. DocuSign vui vẻ gửi nó. Email thực sự bắt nguồn từ cơ sở hạ tầng của DocuSign, vì vậy nó mang theo xác thực hợp lệ. Trò lừa nằm bên trong tài liệu: một số điện thoại để gọi, hoặc hướng dẫn để chuyển tiền trước khi bạn "phê duyệt" một khoản phí. Không có phần mềm độc hại, không có liên kết giả mạo để bộ lọc của bạn bắt. DocuSign đã thừa nhận mô hình này và cảnh báo người dùng rằng nền tảng của chính nó bị lạm dụng theo cách này.

Điều này dẫn chúng ta đến dấu tích xanh, và tại sao nó đang nói dối bạn.

Khi nhà cung cấp email của bạn cho biết một tin nhắn là "đã xác minh," nó đang chạy ba kiểm tra: SPF, DKIM và DMARC. SPF xác nhận tin nhắn đến từ một máy chủ được phép gửi cho miền đó. DKIM thêm một chữ ký mã hóa chứng minh tin nhắn không bị giả mạo trong quá trình truyền. DMARC liên kết hai cái này với nhau và cho người nhận biết phải làm gì nếu chúng không thành công. Cả ba đều thực tế, hữu ích và đáng có. Đây là mẹo: chúng không bao giờ được xây dựng để giải quyết điều này — chúng xác minh ai đã gửi email, không phải liệu người đó có cố gắng cướp bạn hay không. Một tin nhắn được gửi qua các máy chủ thật của DocuSign vượt qua cả ba kiểm tra với kết quả xuất sắc — vì nó thực sự đến từ DocuSign. Xác thực hoạt động chính xác như được thiết kế. Nó chỉ không thể đọc được ý định.

Đây là điểm yếu mà những kẻ tấn công đã học cách khai thác quy mô lớn. Proofpoint, những người nghiên cứu điều này một cách chuyên nghiệp, đã ghi nhận một sự gia tăng trong "lạm dụng dịch vụ hợp pháp" — các chiến dịch sử dụng các nền tảng đáng tin cậy như DocuSign, PayPal, Microsoft và Dropbox chính vì những miền đó vượt qua mọi kiểm tra xác thực và hiếm khi bị chặn. Tính năng "yêu cầu tiền" của chính PayPal đã là yêu thích vì lý do tương tự: một email PayPal thật, với một liên kết PayPal thật, yêu cầu bạn tranh chấp một khoản phí chưa bao giờ xảy ra bằng cách gọi một số điện thoại dẫn đến kẻ lừa đảo.

Quy mô là phần khó chịu. Trung tâm Khiếu nại Tội phạm Internet của FBI đã ghi nhận hơn $16 tỷ trong các tổn thất được báo cáo vào năm 2024, với sự thỏa hiệp email kinh doanh — danh mục không có phần mềm độc hại, trông hoàn toàn hợp pháp mà những hóa đơn giả này thuộc về — trong số những cái đắt nhất. Đây không phải những email hoàng tử Nigeria không gọn gàng. Chúng sạch sẽ, có thương hiệu và được xác thực.

Vậy điều gì thực sự bảo vệ bạn, nếu dấu tích không? Không phải người gửi. Yêu cầu. Một hóa đơn thật không có thời hạn hoảng loạn. Một yêu cầu ký thật phù hợp với thứ gì đó bạn đã mong đợi. Khi một tài liệu yêu cầu bạn gọi một số để tranh chấp một khoản phí bạn không nhận ra, đó là toàn bộ trò lừa trong một câu — vì động thái hợp pháp là bỏ qua email hoàn toàn và tự đăng nhập vào trang web của công ty, nhập địa chỉ bằng tay.

Dấu tích cho biết bức thư đến từ một bưu điện thật. Nó không cho biết gì về những gì được viết bên trong.