来自 DocuSign 自家服务器的钓鱼邮件

骗子不需要伪造 DocuSign。他们可以直接注册一个账户。

这是大多数人对落入他们收件箱的虚假发票邮件理解错的地方。我们一直被训练去寻找那些标志性错误——拼写错误的域名、奇怪的发件人地址、指向 docus1gn-secure-login 之类网址的链接。但越来越多的这类诈骗邮件干干净净地通过了每一道过滤器，因为罪犯根本不是在冒充 DocuSign。他们在使用 DocuSign。真实账户、真实文件、真实邮件来自 DocuSign 的实际邮件服务器。

原理是这样的。攻击者创建一个合法的 DocuSign 账户，生成一份真实文件——比如说，一份来自虚假供应商的"发票"，金额为 $9,800 的网络安全服务——通过平台的正常签名请求流程发送给你。DocuSign 乖乖地把它送了过来。这封邮件真正来自 DocuSign 的基础设施，所以它携带有效的身份验证。诈骗隐藏在文件内部：一个要求拨打的电话号码，或者在你"批准"一笔费用前汇款的指示。没有恶意软件，没有伪造链接让你的过滤器去捕捉。DocuSign 已经承认了这种模式，并警告用户其平台确实会被这样滥用。

这就引出了那个绿色勾号，以及为什么它在欺骗你。

当你的邮件提供商告诉你一条消息"已验证"时，它运行了三项检查：SPF、DKIM 和 DMARC。SPF 确认消息来自被允许代表该域名发送的服务器。DKIM 添加一个密码学签名，证明消息在传输中未被篡改。DMARC 将两者联系起来，并告诉接收方如果检查失败该做什么。这三个都是真实的、有用的，值得拥有。问题在这里：它们从未被设计来解决这个问题——它们验证的是谁发送了邮件，而不是这个人是否试图抢劫你。通过 DocuSign 真实服务器发送的消息以飞行色通过所有三项检查——因为它确实来自 DocuSign。身份验证工作完全如设计那样。它只是无法识别意图。

这是攻击者已经学会大规模利用的软肋。以研究这一点为生的 Proofpoint 已经记录了"合法服务滥用"的激增——这些活动利用 DocuSign、PayPal、Microsoft 和 Dropbox 等可信平台，正是因为这些域名通过了每一项身份验证检查，很少被阻止。PayPal 自己的"汇款请求"功能因同样原因一直是最爱：一封真实的 PayPal 邮件，带有真实的 PayPal 链接，要求你通过拨打到达骗子的号码来异议一笔从未发生过的费用。

规模才是令人不安的部分。FBI 的互联网犯罪投诉中心在 2024 年记录了超过 $16 billion 的报告损失，其中商业邮件泄露——这类虚假邮件所属的、精心打磨、无恶意软件、看起来完全合法的类别——是成本最高的之一。这些不是草率的尼日利亚王子邮件。它们干净、品牌正宗、身份已验证。

那么如果勾号保护不了你，什么才能？不是发件人。是请求。真实发票没有恐慌截止日期。真实签名请求与你已经期待的东西相匹配。当一份文件告诉你拨打某个号码去异议一笔你不认识的费用时，那就是这整个诈骗用一句话概括的情况——因为合法的做法是完全忽略这封邮件，自己登录公司网站，手动输入地址。

勾号告诉你这封信来自真正的邮局。它对信里写了什么一无所知。