Fałszywy mail Docusign o dokumencie do podpisu

Kaspersky opisał 4 maja 2026 r. ataki obserwowane na początku roku, w których fałszywy mail Docusign udawał powiadomienie o dokumencie do przejrzenia i podpisu. Odbiorców takich wiadomości próbowano skłonić do otwarcia dokumentu i podania danych logowania. Wiadomości były wysyłane przez Amazon Simple Email Service (Amazon SES), usługę AWS do wysyłania e-maili, więc mogły przechodzić SPF, DKIM i DMARC — mechanizmy uwierzytelniania poczty — a link prowadził do formularza logowania hostowanego na amazonaws.com. Jeśli dostałeś taki e-mail, nie używaj linku: potwierdź dokument z nadawcą pod znanym numerem telefonu albo otwórz Docusign samodzielnie.

Jak wyglądał fałszywy mail Docusign

Kaspersky nie publikuje w tekście dokładnego brzmienia wiadomości. Przykład odpowiadający opisanemu mechanizmowi, nie cytat: „Masz dokument do przejrzenia i podpisu. Otwórz dokument, aby kontynuować”.

Po kliknięciu odbiorca trafiał do formularza logowania na amazonaws.com. Sama domena AWS nie oznacza oszustwa, ale w opisanych atakach formularz był stroną phishingową, a wpisane dane trafiały do atakujących. Kaspersky podał, że fałszywe powiadomienia usług podpisu elektronicznego należały na początku 2026 r. do częstych motywów phishingu wysyłanego przez Amazon SES.

Co zdradza ten schemat

• dostajesz nieoczekiwany dokument do podpisu, którego nie potwierdza wcześniejsza rozmowa lub znany proces;
• link z wiadomości prowadzi do formularza logowania zamiast bezpośrednio do oczekiwanego dokumentu;
• adres na amazonaws.com może wyglądać wiarygodnie, ale nie potwierdza, że formularz należy do Docusign ani do nadawcy dokumentu;
• wiadomość może przejść SPF, DKIM i DMARC, bo została wysłana przez legalną infrastrukturę Amazon SES — taki wynik nie potwierdza uczciwości treści.

Podobny moment decyzji — wiarygodnie wyglądająca wiadomość prowadząca do fałszywego logowania — występował w kampanii fałszywego e-maila LastPass Support.

Co zrobić, jeśli tylko dostałeś wiadomość

Nie klikaj linku. Jeśli znasz osobę lub firmę, która rzekomo wysłała dokument, zadzwoń na zapisany wcześniej numer albo rozpocznij nową wiadomość na znany adres i zapytaj o dokument. Nie odpowiadaj na podejrzany wątek.

Jeśli wiadomość wygląda jak powiadomienie Docusign, otwórz docusign.com samodzielnie i użyj funkcji Access Documents z kodem Security Code z wiadomości. Podejrzany e-mail możesz przesłać jako załącznik na verify@docusign.com, a wiadomość lub stronę phishingową zgłosić do CERT Polska przez incydent.cert.pl.

Co zrobić po kliknięciu lub wpisaniu danych

Jeśli z tego maila otworzyłeś formularz logowania na amazonaws.com, zamknij go i nie wpisuj danych. Dokument zweryfikuj poza linkiem z wiadomości: otwórz docusign.com samodzielnie i użyj funkcji Access Documents albo skontaktuj się z nadawcą przez znany wcześniej kanał. W przypadku firmowego e-maila przekaż wiadomość i adres strony do helpdesku albo zespołu bezpieczeństwa, aby mogli sprawdzić, czy konto wymaga dodatkowych działań.

Jeżeli wpisałeś login lub hasło, otwórz właściwą usługę z zapisanego adresu lub aplikacji i natychmiast zmień hasło. Zakończ nieznane aktywne sesje i włącz uwierzytelnianie wieloskładnikowe, jeśli nie było aktywne. Przy koncie służbowym zadzwoń do firmowego helpdesku lub zespołu bezpieczeństwa i poproś o unieważnienie aktywnych sesji oraz sprawdzenie logowań po ujawnieniu danych.

Czego nie robić

Nie uznawaj wiadomości za bezpieczną tylko dlatego, że przeszła SPF, DKIM i DMARC albo link pokazuje domenę AWS. Nie wpisuj danych logowania na stronie otwartej z nieoczekiwanego dokumentu i nie weryfikuj prośby przez odpowiedź na ten sam podejrzany e-mail.

To phishing: napastnik wykorzystuje wiarygodny pretekst i zaufaną infrastrukturę, aby doprowadzić odbiorcę do fałszywego logowania i przejąć dane dostępu. W opisanych atakach techniczną wiarygodność wiadomości zwiększał Amazon SES.