Investigadores de Cado Security Labs, ahora parte de Darktrace, han identificado una campaña reciente de spearphishing que utiliza correos fraudulentos suplantando a Docusign para atacar a ejecutivos del sector tecnológico. Esta modalidad de phishing imita las comunicaciones legítimas de la plataforma de firma electrónica, emplea su imagen corporativa y suele alertar al receptor de que un documento aguarda su firma, dirigiéndolo a un sitio que roba sus credenciales. Una vez obtenidas, los atacantes las reutilizan en operaciones posteriores, como estafas de compromiso de correo corporativo (BEC) o para venderlas en mercados clandestinos.
La campaña aprovecha cuentas de correo corporativo japonés previamente comprometidas —por ejemplo, de los dominios anabuki-enter.co.jp y jaog.or.jp— para superar los controles DMARC. Los investigadores destacan que los dominios japoneses gozan de mejor reputación ante los filtros antispam que los .ng o .ru. Uno de los correos incluía un hilo de correspondencia empresarial legítimo para dotar de verosimilitud al mensaje.
El análisis técnico detalla un guion JavaScript ofuscado y codificado en base64 (NdoGg8EElI) alojado en app.getresponse.com, que verifica el dominio y muestra una página de inicio de sesión de Google Workspace con captcha. Si el dominio coincide, redirige a un sitio de phishing en blegabouc.com; en caso contrario, presenta una página 404.
El artículo recomienda cautela ante correos Docusign no solicitados, verificar remitentes, comprobar SPF/DKIM/DMARC, habilitar 2FA y validar los documentos directamente desde la cuenta Docusign.