ESET alerta sobre phishing de Docusign que roba credenciales

La compañía de ciberseguridad ESET ha emitido una alerta sobre un nuevo método de phishing que utilizan ciberdelincuentes, mediante el envío de correos electrónicos falsos que simulan ser de Docusign. Este tipo de engaño tiene como objetivo robar datos personales y credenciales de acceso de los usuarios.

La digitalización ha transformado la manera de gestionar documentos, y Docusign se ha consolidado como una herramienta de confianza, con 1,7 millones de clientes y más de mil millones de usuarios en todo el mundo. Sin embargo, esta popularidad ha atraído la atención de estafadores. Según ESET, “una vez que las marcas tecnológicas alcanzan una masa crítica de usuarios, los ciberdelincuentes buscan formas de sacar provecho”.

Ingeniería social en el phishing

La técnica de ingeniería social es clave en estos ataques. Los usuarios reciben un correo electrónico que aparenta ser un aviso de Docusign, en el que se les solicita hacer clic en un enlace o escanear un código QR. Ambas acciones pueden redirigir a las víctimas a un sitio de phishing, donde se les pide ingresar información personal o financiera. ESET advierte que “los códigos QR son populares, ya que requieren que el usuario los escanee con su dispositivo móvil, que puede no tener instalado un software de seguridad”.

Recientemente, se han identificado varios incidentes relacionados con este tipo de estafas. Entre ellos, se encuentran sobres falsos que imitan facturas de proveedores, así como correos que suplantan la identidad de organismos estatales en Estados Unidos. Además, los ciberdelincuentes han llegado a registrar cuentas reales en Docusign para enviar correos legítimos que engañan a los usuarios.

Recomendaciones de seguridad

Para protegerse de estas amenazas, ESET recomienda a las empresas implementar programas de concienciación sobre phishing, asegurándose de que el personal pueda identificar correos electrónicos fraudulentos. Entre las medidas sugeridas se incluye verificar la URL de destino al pasar el mouse sobre los enlaces, así como comprobar que los correos contengan códigos de seguridad que deben aparecer en cualquier comunicación legítima de Docusign.

También es fundamental tener precaución con los archivos adjuntos, ya que un correo inicial de Docusign no debería incluirlos. ESET aconseja que, en caso de recibir un correo sospechoso, se informe al equipo de TI y se evite abrir enlaces o archivos adjuntos.

Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica, enfatiza que “las aplicaciones de firma electrónica ahorran mucho tiempo, pero es necesario asegurarse de que los estafadores no se aprovechen de la confianza”. Además, sugiere que los usuarios estén atentos a errores ortográficos y gramaticales, que son señales típicas de un intento de phishing.