Další phishing k podpisu: dvě minuty a máte to
Před necelými třemi týdny nám přišla kupní smlouva z budoucnosti k podpisu od neznámého Travise Weavera. Podvodníci zjevně usoudili, že dokument k podpisu zabírá, a tak jsme ve středu 4. listopadu ve 2:59 v noci dostali další. Tentokrát rovnou od Docusignu, jedné z nejznámějších služeb na elektronické podpisy. Slibuje podpis za dvě minuty, bez účtu a bez stahování. Za dvě minuty se ale dá přijít i o heslo.
Pojďme na to, trik po triku.
Trik č. 1: Docusign ze španělského letoviska
Odesílatel se jmenuje „Docusign Signing Service“. Skutečná adresa je ale
service@tailormadesotogrande.com. Sotogrande je luxusní letovisko na
jihu Španělska a „tailor made“ znamená „na míru“. S Docusignem to nemá
nic společného.
Doména existuje od prosince 2025 a údaje v registru se jí naposledy měnily 20. října. Nemá web ani poštovní schránku. Odpověď by se tedy nedoručila. V nastavení DNS má záznamy pro rozesílání přes službu Amazonu, a přes ni zpráva taky odešla.
A teď tělo zprávy:
Logo a ikonka na obrázku chybí schválně. Zprávy vykreslujeme odpojené
od internetu, ať se z cizích serverů nic nestahuje. Na místě
jmeno@firma.example byla naše skutečná adresa.
Trik č. 2: dokument bez názvu, bez odesílatele
Minule se podvodník aspoň namáhal: vymyslel Travise Weavera a kupní smlouvu „BILL OF SALES.pdf“. Tentokrát nic. „A document has been shared with you“, tedy „někdo s vámi sdílí dokument“. Kdo? Jaký dokument? Ke které zakázce? Zpráva neříká.
Skutečná pozvánka k podpisu obvykle uvádí, kdo dokument posílá a jak se jmenuje. Kdo vám opravdu posílá smlouvu, ten ji k vám nepošle jako „nějaký dokument od někoho“. A už vůbec ne ve tři ráno.
Trik č. 3: tlačítko do úložiště u Googlu
Fialové tlačítko Review Document nevede k Docusignu. Vede sem:
storage.googleapis.com/macadamia-estate-foundry-kimoyq0pen/…
To je úložiště Google Cloud. Stejné, jaké použilo falešné Spotify. Složku s libovolným jménem si tam založí kdokoli, kdo má účet. Doména patří Googlu, ale to, co na ní leží, patří podvodníkovi. Tentokrát se složka ani nesnaží tvářit jako Docusign. Jmenuje se zhruba „makadamová plantáž slévárna“ a pár náhodných znaků. Takové jméno vypadá spíš jako výběr automatu než člověka.
Odkaz jsme rozebrali jen z textu zprávy, neotevřeli jsme ho. Stránky za takovými tlačítky obvykle chtějí, abyste se „pro zobrazení dokumentu“ přihlásili e-mailem a heslem.
A jeden zákeřný detail navíc. Zpráva má v hlavičce i odkaz na odhlášení z odběru. Některé poštovní programy z něj dělají tlačítko „Odhlásit“ přímo vedle odesílatele. Tenhle odkaz vede na úplně stejnou adresu jako Review Document. Kdo by chtěl mít od „Docusignu“ prostě pokoj, může skončit na stejné stránce jako ten, kdo chce podepsat.
Trik č. 4: pravá rada uprostřed podvodu
V rámečku pod textem stojí „Alternate signing method“, tedy jiný způsob podpisu: jděte na docusign.com, klikněte na Access Documents a zadejte bezpečnostní kód. Tohle je skutečná funkce Docusignu. Třeba IT oddělení Kalifornské univerzity v Davisu ji doporučuje přesně pro případ, kdy si e-mailem nejste jistí a na odkaz klikat nechcete.
Podvodník vám tedy rovnou napsal, jak jeho podvod obejít. Stejně jako bezpečnostní tip u Spotify. Počítá s tím, že tlačítko je pohodlnější a nikdo se s kódem psát nebude. Patička je taky opsaná ze skutečnosti: 221 Main Street, Suite 1550, San Francisco je opravdu sídlo Docusignu.
A pak je tam věta, které stojí za to se zastavit: „Do not share this email.“ Nikomu zprávu nepřeposílejte, ani odkaz, ani kód. Zní to jako péče o vaše bezpečí. Ve skutečnosti to znamená: neukazujte to nikomu, kdo by poznal, že je to podvod. Třeba svému ajťákovi.
Trik č. 5: šablona, která myslí i na tmavý režim
Ve zdrojovém kódu zprávy jsou úhledné anglické poznámky: Preheader, Hero card, CTA, Message card, Security code, Footer. U loga stojí:
Logo on white chip so black text always shows
(„Logo na bílém štítku, aby byl černý text vždycky vidět.“)
Zpráva má totiž vlastní barvy pro tmavý režim. Kdo má poštu nastavenou na tmavou a jeho poštovní program to umí, uvidí tmavé karty a logo na bílém podkladu.
Navíc má zprávu skrytý úvodní řádek: „A document is waiting for your signature…“. Za ním následuje řada neviditelných znaků. Ty zařídí, aby se do náhledu v přehledu zpráv nepřimíchal další text zprávy.
Takhle pečlivě okomentované šablony bývají typické pro kód z chatbota. Jistě to ale zvenku nepoznáme.
Proč to prošlo filtry? Protože podpis seděl
Je to stejné jako u falešného Spotify:
- SPF: prošlo. Zpráva odešla ze serveru Amazonu a doména Amazon pro rozesílání sama povoluje.
- DKIM: zprávu podepsala doména odesílatele i Amazon. Oba podpisy jsme si ověřili, sedí.
- DMARC: prošel, a doména má navíc nastaveno
p=none, tedy „když něco nesedí, nedělejte nic“.
Spamový filtr naší schránky přitom tušil, o co jde. Statistika obsahu odhadla spam s pravděpodobností 98 % a text zprávy se mu podobal zprávám ze seznamu známého spamu. Jenže neuronová síť ji označila za běžnou poštu, ověřené podpisy jí ubraly další body a za odkaz na odhlášení dostala dokonce malý bonus. Výsledek: „no action“, zpráva doručena.
Poučení se opakuje: ověřený podpis říká, z jaké domény zpráva přišla. Neříká, že ta doména patří Docusignu.
Co s tím?
- Nečekaný dokument k podpisu bez názvu a bez odesílatele smažte. O smlouvě, kterou máte podepsat, víte předem.
- Chcete mít jistotu? Jděte na docusign.com sami, klikněte na Access Documents a zadejte kód ze zprávy. Nebo zavolejte tomu, od koho dokument čekáte, na číslo, které znáte vy.
- Než kliknete, podívejte se, kam tlačítko vede. Podpisová služba posílá odkazy na své vlastní adresy, ne do úložiště u Googlu.
- U podezřelé zprávy nepoužívejte „Odhlásit“. Označte ji jako spam, nebo ji rovnou smažte.
- Kvůli zobrazení dokumentu se nikdy nepřihlašujte e-mailem a heslem. Na to se ptá jen podvodná stránka.
- „Do not share“ klidně ignorujte. Podezřelou zprávu pošlete svému ajťákovi. Od toho tam je.
- Zadali jste heslo? Hned ho změňte, zkontrolujte přesměrování a filtry ve schránce a dejte vědět lidem, se kterými si píšete. Celý postup jsme rozepsali u falešného webmailu.
A to je vše! Docusign ze španělského letoviska, dokument bez názvu od nikoho, tlačítko do Googlu a k tomu pravá rada, jak se tomu všemu vyhnout. Podpis za dvě minuty jsme zvládli i my, jen jinak: klávesou Delete, za dvě vteřiny. Mějte se fanfárově a nepodepisujte nic, co jste nečekali. 🙂