از Envelopes API شرکت DocuSign برای ارسال فاکتورهای جعلی که ظاهری واقعی دارند، سوءاستفاده شده است.

افراد خرابکار از API پاکت‌های DocuSign سوءاستفاده می‌کنند تا فاکتورهای جعلی‌ای تولید و به صورت انبوه توزیع کنند که ظاهری معتبر دارند و خود را به جای برندهای معروفی مانند Norton و PayPal جا می‌زنند.

با استفاده از یک سرویس قانونی (DocuSign)، مهاجمان می‌توانند از سد محافظت‌های امنیتی ایمیل عبور کنند، چرا که ایمیل‌ها از دامنه واقعی DocuSign، یعنی docusign.net، ارسال می‌شوند.

با گرفتن امضای الکترونیکی قربانیان، مهاجمان می‌توانند از این امضا به عنوان مجوزی برای انجام پرداخت‌هایی به نفع خود، بدون دخالت یا آگاهی بخش‌های مالی یا حسابداری شرکت، بهره ببرند.

ارسال درخواست‌های امضا که ظاهری واقعی و معتبر دارند.

DocuSign یک سرویس آنلاین است که به کاربران اجازه می‌دهد اسناد را به صورت دیجیتالی امضا کنند، این اسناد را برای دیگران ارسال کنند و فرآیند مدیریت اسناد را به‌صورت الکترونیکی انجام دهند.

Envelopes API یکی از اجزای اصلی API امضای الکترونیکی (eSignature REST API) در DocuSign است که به توسعه‌دهندگان امکان می‌دهد بسته‌های اسنادی (envelopes) ایجاد، ارسال و مدیریت کنند که فرآیند امضا را تعریف می‌کنند.

این API برای کمک به مشتریان طراحی شده است تا ارسال اسناد نیازمند امضا را به‌صورت خودکار انجام دهند، وضعیت آن‌ها را پیگیری کنند و پس از امضا، آن‌ها را بازیابی نمایند.

این کلاهبرداران با استفاده از حساب‌های معتبر DocuSign و API آن، فاکتورهایی را ارسال می‌کنند که به نظر می‌رسد از طرف شرکت‌های شناخته‌شده نرم‌افزاری آمده‌اند، و این امر باعث می‌شود که فاکتورها واقعی‌تر و فریبنده‌تر به نظر برسند.

این کاربران به قالب‌های (templates) پلتفرم به‌طور کامل دسترسی دارند، که به آن‌ها اجازه می‌دهد اسنادی طراحی کنند که شبیه برند و طرح‌بندی نهاد یا شرکتی باشد که قصد جعل هویت آن را دارند.

سپس آن‌ها از عملکرد API به نام «Envelopes: create» استفاده می‌کنند تا حجم بالایی از فاکتورهای جعلی را به بسیاری از قربانیان بالقوه تولید و ارسال کنند.

کلاهبرداران هزینه‌هایی را در فاکتورها درج می‌کنند که به طور منطقی معقول به نظر می‌رسند، به‌طوری‌که قربانیان به این فکر کنند که این فاکتورها واقعی هستند و احتمال بیشتری برای امضای درخواست دارند.

پس از آنکه قربانیان سند جعلی را امضا کردند، کلاهبردار می‌تواند از آن سند برای درخواست پرداخت از سازمان استفاده کند، چه از طریق سیستم DocuSign و چه از طریق روش‌های دیگری خارج از این پلتفرم. این کار به کلاهبردار اجازه می‌دهد تا پرداخت‌ها را بدون تأیید از سوی بخش‌های مالی شرکت انجام دهد.

کلاهبرداران به شیوه‌های مختلفی از فاکتورهای متنوع استفاده می‌کنند، اما هدف اصلی آن‌ها همچنان یکسان است: گرفتن امضا برای فاکتورها به‌طوری‌که پس از امضا، این فاکتورها مجوزی برای انتقال وجوه به حساب‌های بانکی آن‌ها شوند.

سوءاستفاده وسیع از DocuSign

Wallarm اشاره می‌کند که مشکلات ناشی از سوءاستفاده از DocuSign مدت‌هاست که وجود دارد و کاربران این پلتفرم نیز چندین بار در انجمن‌های مربوط به آن، این مسائل را مطرح کرده‌اند.

“به‌طور ناگهانی، من هفته‌ای ۳ تا ۵ ایمیل فیشینگ از دامنه docusign.net دریافت می‌کنم و هیچ‌یک از آدرس‌های ایمیل استاندارد برای گزارش، مانند abuse@ یا admin@ کار نمی‌کند,” یک مشتری در انجمن‌های DocuSign منتشر کرد.

“آن‌ها ایمیل من را رد می‌کنند و من نمی‌توانم هیچ اطلاعاتی برای گزارش‌دهی در صفحه سوالات متداول (FAQ) آن‌ها پیدا کنم. به نظر می‌رسد تنها گزینه‌ام مسدود کردن دامنه باشد؟”

حملات به گونه‌ای سازمان‌دهی شده‌اند که به‌طور خودکار و در مقادیر زیادی انجام می‌شوند، به طوری که برای سیستم‌های نظارتی پلتفرم سخت خواهد بود که این فعالیت‌های غیرطبیعی و مشکوک را شناسایی نکنند.

کارشناسان در حال بررسی این موضوع هستند که DocuSign چه اقداماتی برای مقابله با سوءاستفاده‌ها انجام می‌دهد و آیا برنامه‌ای برای بهبود این اقدامات دارد، اما هنوز پاسخ یا اظهار نظری از طرف DocuSign دریافت نکرده است.

زمانی که کلاهبرداران با استفاده از حساب‌های قانونی و تجاری به نقاط پایانی API دسترسی پیدا می‌کنند، تأمین امنیت این نقاط پایانی دشوار می‌شود، زیرا آن‌ها می‌توانند به‌راحتی از قابلیت‌ها و خدمات موجود سوءاستفاده کنند.

برخی از مثال‌های اخیر از چگونگی سوءاستفاده هکرها از APIها در گذشته شامل تأیید شماره‌های تلفن میلیون‌ها کاربر Authy، جمع‌آوری اطلاعات ۴۹ میلیون مشتری Dell، و مرتبط‌سازی آدرس‌های ایمیل با ۱۵ میلیون حساب Trello است.

DocuSign تأکید می‌کند که به مشکلات امنیتی آگاه است و برای مقابله با سوءاستفاده‌ها اقداماتی انجام داده است، اما به دلایل امنیتی نمی‌تواند جزئیات این اقدامات را فاش کند.

DocuSign اعلام می‌کند که این شرکت به‌طور فعال سیستم‌های خود را تحت نظر دارد تا هرگونه فعالیت غیرقانونی را شناسایی کند و به سرعت نسبت به آن واکنش نشان دهد.

DocuSign جزئیات بیشتری درباره تلاش‌های پیشگیرانه و تکنیک‌های بازدارنده خود را در اینجا ارائه می‌دهد.