文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

假期网络钓鱼攻击中DocuSign伪装与虚假贷款诈骗的融合机制分析

本文聚焦于2025年末至2026年初假期期间出现的一类新型复合型钓鱼攻击：攻击者通过伪造DocuSign电子签名通知邮件，诱导用户点击嵌入链接，进而跳转至高仿真的钓鱼登录页面或下载含恶意宏的文档，最终窃取电子邮件凭证及个人财务信息...在众多钓鱼载体中，DocuSign因其广泛用于电子合同签署，成为攻击者频繁冒充的品牌。合法用户习惯于接收来自DocuSign的邮件以完成法律或商业文件签署，这种信任惯性被恶意利用。...DocuSign界面截图、发件人地址（如“no-reply@docusign-support[.]com”）及行动按钮（如“查看并签署文档”）。...为绕过SPF检查，攻击者常租用支持自定义Return-Path的云邮件服务（如SendGrid、Mailgun），并将Return-Path设置为合法DocuSign的SPF记录所允许的IP段。...关键原则包括：（1）绝不点击邮件中的“查看文档”链接，应直接登录DocuSign官网查看通知；（2）对任何未主动申请的“贷款批准”保持警惕；（3）注意检查发件人完整邮箱地址，而非仅看显示名称；（4）启用多因素认证

12910

假期“财务礼包”暗藏杀机：DocuSign钓鱼邮件激增，虚假贷款成新诱饵

您已通过我们的快速审核，获得一笔$15,000的无抵押预批贷款。请点击下方按钮完成电子签名，资金将在24小时内到账。[蓝色大按钮：“查看并签署文档”]此优惠有效期仅剩48小时。...邮件头伪造：通过开放中继或 compromised SMTP 服务器发送，使邮件看似来自合法IP。...该站点通常具备以下特征：像素级UI克隆：使用真实DocuSign登录页的HTML/CSS截图重建界面。动态内容加载：通过JavaScript注入当前受害者邮箱（从URL参数获取），提升真实感。...芦笛提出了“三层防御体系”：第一层：用户行为准则（User Hygiene）绝不点击邮件中的“操作按钮”：应手动打开浏览器，输入 docusign.com 官网地址，登录后查看待办事项。...对此，芦笛呼吁SaaS厂商承担更多责任：“除了加强自身域名保护（如BIMI标准），还应提供‘文档真实性验证API’，允许第三方应用校验签名请求真伪。信任不能只靠用户肉眼分辨。”

9210
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    国内电子签名如火如荼，为何DocuSign 在美遇到IPO危机？

    T客汇官网：tikehui.com 撰文 | 杨丽 电子签名，就是通过密码技术对电子档案实施电子形式的签名，能帮助企业大大提升文档签名授权的效率，这项服务在企业中的分量变得越来越重要。...而竞争对手如Adobe, AlphaTrust, Echo Sign和 RightSignature等同行也给DocuSign带来了不小的压力。 ---- 吸引开发人员，提升API接口性能。...在2014年，DocuSign的业务主要通过网站和移动应用平台运行，这使得客户能够轻松在线分享自己的签名。...例如，TD Ameritrade Institutional公司的Bob Mahoney，一直都是电子签名解决方案的倡导者。他提到，公司顾问使用DocuSign API已经有八九年的时间。...通过使用定制化的DocuSign解决方案，公司顾问也可以开放个人账户，连接到如CRM系统等其他数据资源。 “API已经取得了很大进步，我们正在利用API将元数据连接到自己的平台，”Mahoney声称。

    3.2K60

    Docusign通过新平台扩展其开发者社区

    Docusign 的电子签名软件即服务将企业从缓慢的纸质法律协议中解放出来。但该公司已经超越了这项创新。...Docusign 过去 21 年的成功建立在开发者使用公司 API 创建自定义集成的基础上。凭借其新平台，开发者现在有更多机会构建扩展和插件，从而提高定制和集成能力。...开发者是商业协议不可或缺的一部分 仅在过去 12 个月中，Docusign 用户就提交了超过 12 亿个签名，其中超过 5 亿个签名由开发者构建的 API 集成提供支持。...扩展应用程序: 允许开发者将他们的独特功能或服务集成到 Docusign 中，并通过 Docusign 应用程序中心分发给公司的 160 万客户。...协议 API: Docusign 现有 API 产品组合（电子签名、Web 表单、管理）的扩展，新增了协议 API，可将智能协议管理平台功能嵌入到外部产品体验中，使开发者能够构建超越电子签名的集成。

    95910

    伪装成“DocuSign”的钓鱼邮件席卷法律界：一场针对信任链的精准打击

    “这类攻击的关键不在于技术多高深，而在于对人类心理弱点的精准拿捏。”公共互联网反网络钓鱼工作组技术专家芦笛指出，“法律从业者每天处理大量电子签名请求，对DocuSign这类平台有天然依赖。...利用合法邮件服务中转：部分攻击者租用已被攻陷的WordPress站点或云函数（如AWS Lambda + SES），通过合法IP发送邮件，绕过IP黑名单。...为逃避安全扫描，攻击者常采用以下技术：延迟加载内容：页面初始仅显示空白或加载动画，数秒后通过JavaScript动态插入登录表单；环境检测：检测是否运行在沙箱、无头浏览器（如Puppeteer）或安全研究人员的设备上...，若是则返回正常页面；凭据直传C2服务器：用户提交表单后，数据不经本地存储，直接通过XHR或Fetch API加密上传至攻击者控制的服务器。...当人们习惯于相信来自权威机构的邮件、相信电子签名平台的安全性、相信工作流程的稳定性时，攻击者便悄然潜入。网络安全不是技术问题，而是信任管理问题。

    6110

    中美电子签SaaS的异同

    根据东方证券研究所整理的数据显示，目前在全球电子签名市场中，DocuSign占据70%左右的市场份额，其次是Adobe仅占20%的市场份额，只有剩余约10%的市场份额被其他中小公司瓜分。...如签约前需要跟公安部门、工商部门通过人脸识别完成数据认证，从而确定个人信息是否真实可靠；签约中需要判断签约主体意愿，以防盗用他人名义签署；签约后需要跟公证处、司法鉴定、仲裁等机构对接，做完整的法律服务。...回归 随着行业参与者的日益增多，行业竞争进一步加剧，国内电子签行业也开始呈现出新的发展趋势。 其一，业内企业普遍从电子签名的单一服务，向覆盖电子合同全生命周期的全链条服务延伸。...为了进一步提升自身服务客户的能力，各大电子签龙头企业纷纷通过开放API集成方式以及融入巨头生态等方式，来达到提升自身生态能力的目的。...如e签宝与钉钉、用友、SAP等，法大大与微软、SAP、明源云等，上上签与北森、销售易、Oracle等，契约锁与泛微等的合作，就属于开放API接口的生态合作；而法大大等龙头通过融入大的互联网公司如腾讯的“

    2.4K30

    网络钓鱼对国家网络安全战略的深层影响

    攻击者通过钓鱼邮件发送会议邀请，并在会议中播放预先录制的高管视频，诱骗财务人员转账。...其原因在于这些系统多采用基于签名和信誉的检测逻辑，而AI驱动的多态钓鱼通过微小扰动即可规避。...当前的情报交换多基于已确认的恶意指标（IOCs），如IP地址、域名或文件哈希。然而，多态钓鱼的每个实例都具有唯一性，使得IOCs在攻击发生后即失效。...假设攻击者使用Google Sites创建一个伪造的Docusign登录页，并通过Gmail发送邮件。...附件动态沙箱：对Office文档、PDF等启用无头浏览器或API钩子，在隔离环境中执行宏或JavaScript，监控其是否尝试连接C2服务器。

    19710

    聚焦“生态化”，e签宝讲好电子签名的“中国故事”

    与此同时，腾讯、字节跳动等传统互联网巨头也都在这个时间节点上推出了自家的电子签名平台，并通过背后的资本运作，纷纷将触手伸向向e签宝、法大大等垂直玩家。...01 成为中国版的 DocuSign？ DocuSign是全球电子签名领域的TOP1，成立于2003年。说起来，中国的本土厂商e签宝成立比他还早一年。然而，在相似的时间点上，两者的命运却截然不同。...这一转变使得电子签名服务能借助更大的生态平台（如支付宝等）以及依托更灵活的服务模式（如在线订阅等）进行推广，让越来越多的企业客户能在较低的试错成本下去尝试电子签名，并逐步认可这一模式。...在「智能相对论」的视角中，大规模签署网络实际上的落地主要是通过抓取企业大客户，并在大客户的带动来吸取其上下游的合作伙伴转化e签宝的客户，从而实现网络效应。...具体来看，主要呈现为四个方向的延伸。 一是服务延伸。 与DocuSign类似，如何在电子签名业务的基础之上讲好一个更宏大更具市场潜力的商业故事，同样是国内本土厂商接下来要考虑的重点。

    2.1K10

    面向企业级的SaaS电子签约，如何保障安全性和法律性？

    受全球经济环境的影响，互联网新兴技术的兴起，企业想通过电子签名来提高办公速度，同时降低成本，所以电子签名市场兴起。...美国的SaaS电子签约服务企业DocuSign可以说是这个领域的佼佼者，在全球各地有业务分部，并且迅速跨入全球知名独角兽的行列，并且有很多像微软、SAP这样的IT巨头为其注资。...其实，早在2005年，我国就通过并颁布了《电子签名法》，以法律形式明确了电子签名和电子合同的合法地位，只是由于当时技术条件的限制，中国的电子签名行业并未像国外一样迅速发展起来。...其中，签名法第十四条规定：“可靠的电子签名与手写签名或者盖章具有同等的法律效力。”通过这些规定，可以看到符合一定条件的数据电文及电子签名的效力等同于书面形式，可以作为证据使用。...例如，美国SaaS电子签约领域的著名独角兽DocuSign，DocuSign是采用用户加密认证的方法，绑定特定的IP地址登录账号，保证用户的数据安全。

    2.4K50

    数字化时代，电子签名玩家们如何突围？

    通俗点说，电子签名就是通过密码技术对电子文档的电子形式的签名，并非是书面签名的数字图像化，它类似于手写签名或印章，也可以说它就是电子印章。 从传统软件向第三方SaaS服务转变。...就拿DocuSign来说，DocuSign提供的服务主要是在线审批、协议签署及在线交易，与国内电签平台主要服务于依托互联网的行业不同，DocuSign除在制造业、金融、互联网等领域积极拓展，在会计税务、...与DocuSign相反的是，中国电子签名企业都在进行本地化部署，也就是说大多数的企业都在和政府合作。...也就是说，电子签名的发展更多的依赖裂变模式，一个企业使用就会带动另一个企业使用，以此形成裂变。长期以往，电子签名的马太效应只会越来越强，出现赢者通吃的局面。...对于国内电子签名玩家而言，主要收入包括合同签署费用、认证服务费、接口集成费用（如API接入费）、服务器存储空间费等。

    1.7K00

    深入人工智能驱动的协议管理平台Docusign

    新的开发者工具、集成和 AI 辅助洞察使公司更轻松地创建和管理业务协议。...DocuSign 实际上发明了全球数字签名市场，由于这一创新，它已发展成为国际标准。但它已经发展到超越这一阶段。...在过去 20 多年中，我们一直是电子签名的领导者。我们有效地创建了这个类别，当然，还有许多其他参与者进入这个领域。通过这些经验，我们意识到客户需要的不仅仅是签署协议。”...通过 Workday、SAP 和 Salesforce 集成，需要添加到协议中的数据（例如录取通知书、采购合同或销售协议）会自动从这些系统流入每个协议，确保准确性并消除耗时的手动数据输入。...新的AI辅助合同审查 DocuSign的另一个新功能是AI辅助审查，它通过根据内部批准的法律指南审查协议，标记差异并实时建议语言更改来加快谈判速度。

    1.1K10

    如何开发人事管理系统中的入职管理板块？（附架构图+流程图+代码参考）

    一个良好的入职管理系统能够让员工感受到公司文化的融入，同时也能减少管理者的工作负担，提高工作效率。本文将重点讲解如何开发人事管理系统中的入职管理板块。...我们将从功能设计、业务流程、开发技巧、实现效果等方面进行详细分析，并提供相关的代码参考，帮助开发者和企业负责人快速搭建适合自己公司的入职管理系统。...（可以集成第三方服务如DocuSign）存档合同并提供查询功能代码示例：javascript// 合同签署功能（前端）function signContract(contractId) { axios.post...员工个人附件的安全性至关重要。在系统中，可以采用加密存储、访问权限控制等方式来保障文件的安全性。可以使用HTTPS协议加密传输文件，且仅允许特定权限的人员访问文件。3. 合同管理模块是否支持电子签名？...是的，合同管理模块可以集成第三方电子签名服务（如DocuSign），支持在线签署合同。这不仅提高了签署效率，还避免了传统纸质合同签署的繁琐过程。

    50710

    金融科技合作伙伴关系简化银行数据集成

    在Docusign的开发者平台上提供Gluye应用程序，有助于银行减少从头构建集成的成本和时间。...通过在Docusign的智能协议管理 (IAM) 市场及其应用程序生态系统中扮演重要角色，Sandbox Banking正在帮助定义金融机构如何简化运营并改善客户体验。...Docusign Maestro是一款帮助企业自动化和简化其协议流程的工具。它本质上充当协调者，连接协议工作流程中涉及的不同步骤和系统。...“通过自动化诸如更新客户资料或管理协议等工作流程，我们显著减少了手动流程并提高了运营效率。 “假设客户填写网络表单以更改其地址。...“人工智能正在赋能‘公民开发者’——没有编码经验的个人——创建自动化和集成，进一步使技术普及。人工智能使我们能够利用我们庞大的API文档和预构建集成库来创建更智能和自动化的解决方案。

    62510

    网络钓鱼威胁增大，财富500强公司继续成为支付欺诈对象

    IBM发布警告称，他们近期发现犯罪分子正在发起针对财富500强企业财务人员的网络钓鱼欺诈互动，通过网络欺诈诱导受害者汇款。攻击者通过入侵员工邮箱或身份伪造发起钓鱼，辅以社会工程技巧，频频实施作案。...攻击者在获取目标的合法凭证之后，会在邮件上下文会话中加入自己的银行账号或其他支付凭证。他们还通过创建邮件过滤器，确保过程中之存在受害者一方。...在某些情况下，他们还伪造了必要的上级审批表格以增获取信任。 IBM表示，犯罪团伙使用的发件人邮箱地址和IP指向尼日利亚。...在获取的凭证中，攻击者会筛选出可用的部分，如只需要用户名和密码即可登录的邮箱账号。 “攻击者特别针对企业财务部门人员，潜在企图在于确保访问公司的银行账户。”...企业财务和金融人员应采纳严密的交易转账培训，能够在紧急支付流程中验证邮件的真实性（如应用数字证书之类） 5. 对客户企业进行身份确认。

    1.1K80

    在线恶意软件和URL分析集成框架 – MalSub

    它支持用户提交文件或URL进行分析，并可通过哈希值，域名，IPv4地址或URL检索报告，下载示例和其他文件，进行一般搜索和获取API配额值。...搜索任意项（与输入格式无关） -q, –quota 检索API用户配额 -r, –report 检索域，哈希值，IP地址或URL的提交报告 -s, –submit 提交恶意软件样本或...URL进行分析 -t, –test 通过调用每个服务函数来测试API调用，并定义一些默认值输入格式（哈希值或文件默认情况下取决于选项）： -i, –ipaddr 输入为IPv4地址（...以下是其支持的API函数的完整列表： download_file：下载与给定哈希值匹配的文件或样本； report_file：检索由其哈希值标识的文件提交的分析报告； submit_file：提交文件进行分析...； report_app：为已知应用程序哈希值提供一个检索报告； report_dom：域名检索报告； report_ip：IPv4地址检索报告； report_url：URL检索报告； submit_url

    1.6K100

    Burp Collaborator

    当可以诱导应用程序从外部系统检索内容并以某种方式对其进行处理时，就会出现一些漏洞。例如，应用程序可能会检索所提供 URL 的内容并将其包含在其自己的响应中。...它提供了一项 DNS 服务，可以使用自己的 IP 地址回答对其注册域（或子域）的任何查询。 它提供 HTTP/HTTPS 服务，并为其域名使用有效的、CA 签名的通配符 TLS 证书。...如何控制对 Collaborator 数据的检索？ Collaborator 功能的设计使得只有生成给定负载的 Burp 实例才能检索由该负载产生的任何交互的详细信息。...基于协作者的电子邮件地址 如果您使用的是公共 Collaborator 服务器，我们不建议使用基于 Collaborator 的电子邮件地址注册网站。...这意味着，如果您使用公共 Collaborator 服务器上的电子邮件地址在网站上注册，并且该网站将攻击者控制的数据放入发送给您的电子邮件中，则攻击者可能能够通过他们自己的客户端检索该电子邮件。

    2K60

    听GPT 讲K8s源代码--pkg(二)

    函数用于生成签名证书并将其存储到 ConfigMap 中，updateConfigMap 函数用于将新的签名证书 ConfigMap 上传到 API Server 中，getConfigMap 用于检索一个...getAlternateOwnerIdentity 函数从给定的对象元数据列表中返回所有候选所有者，并在必要时使用给定的默认值。...通过使用Kubernetes API删除资源对象，将资源从集群中删除。 getObject: 该函数用于获取资源对象。通过使用Kubernetes API获取资源对象的详细信息。...Occupy函数用于占用给定IP地址的位置。getIndexForIP函数用于查找给定IP地址的索引位置。getMaxCIDRs函数用于计算在给定集群CIDR和子网掩码大小下可能分配的CIDR块数。...通过CIDRSet，Kubernetes能够管理集群中的IP地址，并为Pod分配可用地址块，保证Pod网络的连通性。

    58140

    基于可信平台基础设施的钓鱼攻击机制与防御策略研究——以Nifty.com滥用事件为例

    摘要近年来，网络钓鱼攻击呈现出高度隐蔽化与技术复杂化的趋势。威胁行为者不再局限于传统恶意域名或IP地址，而是转向利用合法、高信誉度的第三方服务平台作为攻击载体。...攻击者利用该平台的项目管理与链接共享功能，创建看似正常的业务协作链接，实则指向精心伪造的Microsoft 365、DocuSign及银行登录页面。...随着机器学习与信誉系统的发展，攻击者转向使用短链接服务（如bit.ly）、云存储共享链接（如Dropbox）及动态生成页面。...近年来，“平台即武器”（Platform-as-a-Weapon）成为新趋势，攻击者利用Slack、Confluence、Jira等企业协作工具的开放API或子域功能部署钓鱼内容。...4 攻击复现实验为验证上述机制有效性，我们在受控环境中搭建模拟Nifty子域（使用本地DNS劫持与自签名证书），复现完整攻击流程。

    17010

    区块链一键登录：MetaMask教程(One-click Login with Blockchain: A MetaMask Tutorial)

    如果您设法签署由我们的后端生成的精确数据，那么后端将认为您是该公共地址的所有者。因此，我们可以构建一个基于消息签名的身份验证机制，并将用户的公共地址作为标识符。...因此，我们可以致电web3.eth.coinbase获取当前MetaMask帐户的公开地址。 当用户点击登录按钮时，我们会向后端发起API调用以检索与其公共地址相关的随机数。...第5步：签名验证（后端） 当后端接收到POST /api/authentication请求时，它首先在数据库publicAddress中根据请求体中的给定内容提取用户。特别是它提取相关的随机数。...一个更严格的实现会添加一个验证函数来检查这里的所有地址都是有效的以太坊地址。 第2步：生成随机数（后端） 这是在defaultValue()上面模型定义中的函数中完成的。...第一步是从数据库中检索用户说的publicAddress; 只有一个，因为我们将其定义publicAddress为数据库中的唯一字段。然后，我们将该消息设置msg为“我正在签署我的...”

    9K21
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券