Betrugsversuch mit DocuSign

Viele Verträge werden heute online unterzeichnet. Zahlreiche Dienste wie Adobe oder DocuSign bieten diese papierlose Form der Vertragsunterzeichnung.

Die papierlose Vertragsunterzeichnung spart Zeit und Ressourcen, bietet allerdings Cyberkriminellen neue Angriffsmöglichkeiten. Erfahren Sie hier, welche das sind und welche Dienste aktuell betroffen sind.

Achtung! Betrug mit DocuSign

Nachdem wir bereits Anfang 2023 darüber berichtet haben, dass Angreifer Adobe nutzen, um Malware zu verbreiten, gehen Sie nun einen Schritt weiter. Die Kriminellen buchen mittlerweile Dienste wie DocuSign, Adobe und andere. Mit echten Accounts erzeugen sie Dokumente, die wie Vertragsverlängerungen oder Rechnungen legitimer Dienste wie Norton oder PayPal aussehen.

Diese Dokumente senden sie in großen Mengen an verschiedenste Unternehmen. Und dort kommen sie auch an, weil die Dokumente vom echten DocuSign-Dienst (docusign.net) stammen und daher für Spamfilter unauffällig sind.

Das Ziel der Kriminellen: die digitale Unterschrift durch unbedarfte Mitarbeitern zu bekommen. Und die digitale Signatur ist in Zeiten von Remote Work und Home Office ein gängiges Vorgehen. Anschließend nutzen die Kriminellen due unterschriebenen Dokumente, um fingierte Rechnungen unabhängig von den Rechnungsabteilungen des jeweiligen Unternehmens zu erstellen.

Immer mehr Unterschriften können bereits digital geleistet werden – das ruft auch Kriminelle auf den Plan. Bild: stock.adobe.com/Bits and Splits

DocuSign – wie geht’s genau?

DocuSign ist eine Plattform für elektronische Signaturen, die das digitale Signieren, Versenden und Verwalten von Dokumenten ermöglicht. Die Envelopes API ist eine Kernkomponente von DocuSigns eSignature, die es Entwicklern ermöglicht, Dokumentencontainer (Envelopes) zu erstellen, zu versenden und zu verwalten, die den Unterzeichnungsprozess definieren. Die API soll Kunden helfen, den Versand von zu signierenden Dokumenten zu automatisieren, ihren Status zu verfolgen und sie nach dem Signieren abzurufen.

Nach Angaben der Sicherheitsforscher von Wallarm missbrauchen Bedrohungsakteure im ersten Schritt diese API, um gefälschte Rechnungen zu versenden, die das Aussehen und die Arbeitsweise seriöser Softwarefirmen imitieren. Dafür benutzen sie legitime, bezahlte DocuSign-Konten, wodurch die uneingeschränkten Zugriff auf die Vorlagen der Plattform haben. Die Folge: Die Angreifer können Dokumente entwerfen, die dem Branding und dem Layout des gefälschten Unternehmens ähneln.

Massenhafte Rechnung dank API-Funktion

Im zweiten Schritt verwenden die Kriminellen die API-Funktion „Envelopes: create“. Dadurch können sie eine große Menge an betrügerischen Rechnungen erstellen und an viele potenzielle Opfer versenden.

Wallarm berichtet, dass die in diesen Rechnungen angegebenen Gebühren in einem realistischen Rahmen gehalten werden, um das Gefühl der Legitimität der Signieranfrage zu erhöhen. „Wenn Benutzer dieses Dokument elektronisch signieren, kann der Angreifer das signierte Dokument verwenden, um eine Zahlung […] anzufordern oder das signierte Dokument über DocuSign zur Zahlung an die Finanzabteilung zu senden“, erklärt Wallarm.

„Andere Versuche umfassten verschiedene Rechnungen mit unterschiedlichen Posten, die in der Regel dem gleichen Muster folgen“. Ziel ist auf jeden Fall immer, Signaturen für Rechnungen zu erhalten, um eine Zahlung auf die Bankkonten der Angreifer zu autorisieren.

DocuSign: Maßnahmen gegen Missbrauch

Die Angriffe laufen automatisiert und nicht manuell ab. Das bedeutet, dass der Betrugsversuch mit DocuSign in großem Umfang passiert. Die Plattform selbst hat kaum Möglichkeiten für Maßnahmen gegen den Missbrauch, da die Kriminellen legale, kommerzielle Accounts erstellen. Dadurch sind die API-Endpunkte schwer zu sichern.

Andere Beispiele für den Missbrauch von APIs durch Hacker sind die Überprüfung der Telefonnummern von Millionen von Authy-Nutzern, das Abgreifen der Daten von 49 Millionen Dell-Kunden und die Verknüpfung von E-Mail-Adressen mit 15 Millionen Trello-Konten.

DocuSign selbst gibt keine Einzelheiten im Kampfe gegen den Missbrauch bekannt, um „die bösartige Akteure [nicht] auf unsere Präventionstaktiken aufmerksam [zu] machen“. Immerhin:  Die Systeme werden auf mehreren Ebenen überwacht, um Verhaltensweisen zu identifizieren und zu unterbinden.

Gefahr für Unternehmen

Für Unternehmen besteht eine große Gefahr, wenn Mitarbeiter scheinbar offizielle Dokumente unterschreiben, da die Angreifer mit der Signatur eine Rechnung zur Zahlung weiterleiten oder eine Zahlung autorisieren kann. Oft sind die geforderten Beträge realistisch gehalten, um die Täuschung perfekt zu machen.

Wichtig: Nur weil ein Dokument tatsächlich von DocuSign, Adobe oder einem anderen Signing-Dienst vorgelegt wird, ist es inhaltlich noch lange nicht sauber. Unerwartete Anschreiben durch bekannte Hersteller sollten entsprechend Alarmglocken läuten. Folgende Maßnahmen können Firmen ergreifen:

1. Vorsicht bei unerwarteten Rechnungen oder Vertragsanfragen: Auch wenn diese von einem vertrauten Absender kommen, sollten Empfänger solche Anfragen stets kritisch hinterfragen.
2. Schulung der Mitarbeiter: Sensibilisieren Sie Ihre Mitarbeiter, um Ihr Sicherheitsbewusstsein mit dem Ziel zu stärken, digitale Signaturanfragen genau zu prüfen und bei Zweifeln Rücksprache zu halten.
3. Spamfilter und Sicherheitsprotokolle: Auch wenn solche E-Mails vertrauenswürdige Domains nutzen, können Sicherheitsfilter weiterhelfen. Zusätzliche Prüfprozesse bei ungewöhnlichen Zahlungsaufforderungen erhöhen den Schutz.
4. Kontakt zu den Anbietern – Bei gehäuftem Auftreten solcher E-Mails kann es sinnvoll sein, den Anbieter zu informieren, um zukünftigen Missbrauch zu verhindern.

Bei Fragen zur IT-Sicherheit und wie Sie Ihr Unternehmen vor digitalen Bedrohungen schützen, steht Ihnen PC-SPEZIALIST kompetent und zuverlässig zur Seite. Unsere IT-Experten in Ihrer Nähe unterstützen Sie mit umfassenden Sicherheitskonzepten, die gezielt auf die Bedürfnisse kleiner und mittelständischer Unternehmen abgestimmt sind. Natürlich unterstützen wir Sie auch bei allen Fragen rund um die Digitalisierung Ihrer Betriebsabläufe mit geeigneter IT-Ausstattung. Nehmen Sie gern Kontakt zu uns auf.

_______________________________________________

Quellen: bleepingcomputer, Pexels/pixabay (Headerbild)