Ægte Docusign-mail kan være svindel: Sådan spotter du den

En Docusign-mail kan være svindel, selv om den er fuldstændig ægte. Det lyder som en selvmodsigelse, men det er præcis kernen i en phishing-kampagne, som sikkerhedsforskere hos Island offentliggjorde 26. august 2026: angriberne sender ikke forfalskede mails, der ligner Docusign. De sender rigtige Docusign-mails — afsendt af Docusigns egne servere, med Docusigns egen sikkerhedskode, fra domænet docusign.net.

Værktøjet bag hedder NovaCookies, og det er ikke lavet af de folk, der sender mailen. Det er en abonnementstjeneste, der koster 320 dollars om måneden, og som ifølge Island allerede er brugt mod hundredvis af organisationer i USA, Storbritannien, Canada, Tyskland, Israel og De Forenede Arabiske Emirater.

Det problematiske for dig som modtager er, at det råd, du har fået igen og igen — tjek afsenderadressen — er ubrugeligt over for denne type angreb.

Derfor virker "tjek afsenderen" ikke her

Når en almindelig phishing-mail forsøger at ligne Docusign, sender den fra et falsk domæne: docusign-secure.com, docusign.net.co eller noget tilsvarende. Det fanger både din mailudbyders filtre og et opmærksomt øje.

Det sker ikke her. Mailen bliver reelt afsendt gennem Docusigns platform, og derfor består den de tre tekniske kontroller, som al moderne mailsikkerhed bygger på — SPF, DKIM og DMARC. De kontroller svarer ikke på spørgsmålet "er indholdet ærligt?", men på "er mailen faktisk sendt af den server, domænet siger?". Og det er den.

Mekanismen bag er velkendt. Docusigns egen Envelopes API — funktionen, der lader virksomheder sende signeringsanmodninger automatisk — kræver bare en betalt konto. Da BleepingComputer beskrev det samme mønster i en tidligere bølge af falske fakturaer, var pointen den samme: angriberne er betalende kunder, der bruger platformen, som den er tænkt. Det gør det usædvanligt svært at spærre dem ude, fordi der teknisk set ikke sker noget forkert i afsendelsen.

Docusign anerkender selv problemet. Virksomhedens officielle sikkerhedsadvarsler har alene i juli og august 2026 dokumenteret kampagner med slørede dokumenter, falske PayPal-opkrævninger, QuickBooks-imitationer og LastPass-tema. Alle sendt gennem systemet.

Sådan foregår NovaCookies-angrebet trin for trin

Island beskriver et konkret eksempel. Mailen er, med forskernes ord, "udformet som en Docusign-delingsnotits" og hævder, at en bogholderiafdeling har delt en betalingsadvis-PDF, som modtageren inviteres til at åbne.

Bemærk, hvad der ikke sker: du bliver ikke bedt om at underskrive noget. Du bliver bedt om at åbne et dokument. Det er det afgørende skift, for et rigtigt Docusign-forløb handler om signering.

Klikker du, starter en kæde af viderestillinger, hvor hvert enkelt led ser troværdigt ud i sig selv:

1. Docusign-mailen — ægte afsender, ægte domæne, ægte sikkerhedskode.
2. Et legitimt loginendepunkt — nogle klik dirigeres gennem rigtige Microsoft- eller Google-sider ved hjælp af en OAuth-fejlviderestilling, en teknik Microsoft selv beskrev i marts 2026.
3. Angriberens infrastruktur — typisk hostet på .vu-domæner som fordmotbvmorcompany[.]vu, med URL-stier skrevet i vekslende store og små bogstaver: PwPt-sHaRe, Ms36-AcCeSs, ClOd-ViEw.

Som Island formulerer det: "Beskeden, dokumenttjenesten og viderestillingen kan derfor fremstå troværdige, indtil browseren når frem til angriberkontrolleret infrastruktur."

Inden den falske login-side overhovedet vises, kører kittet anti-analyse-tjek — en Cloudflare-port og en mekanisme, der opdager fejlfindingsværktøjer — så automatiske sikkerhedsscannere får en harmløs side at se.

Det, der gør angrebet farligere end almindelig phishing

Den falske login-side er ikke bare en formular, der gemmer din adgangskode. Det er en AitM-relæ — adversary-in-the-middle. Siden videresender alt, du taster, til den ægte Microsoft-login i realtid.

Konsekvensen er den, mange stadig ikke har forstået: totrinsbekræftelse stopper det ikke. Du modtager din rigtige kode eller dit rigtige push-godkendelsesspørgsmål fra Microsoft, fordi der reelt logges ind — bare fra angriberens server. Når Microsoft udsteder sessionscookien, er det angriberen, der får den. Derefter er de inde, uden at skulle kende hverken din adgangskode eller din næste kode.

Det er samme grundprincip som i Forg365, det AI-drevne hackerværktøj der stjæler Microsoft 365-konti, og Proofpoint vurderer, at NovaCookies er en variant af phishing-kittet Sneaky 2FA — nu med særlige forløb til Okta og til Entra-domæner, der er federeret til GoDaddy.

Kun ét forsvar bryder kæden teknisk: passkeys og FIDO2-sikkerhedsnøgler. De er bundet kryptografisk til det rigtige domæne, så de nægter simpelthen at svare, når siden ikke er login.microsoftonline.com. SMS-koder, engangskoder fra en app og push-godkendelser gør det ikke.

Det, der faktisk afslører en ondsindet Docusign-mail

Da afsenderen ikke længere kan bruges som tegn, skal du kigge andre steder. Disse fem punkter holder:

1. Bad du om det? En betalingsadvis eller et dokument fra en "bogholderiafdeling", du ikke har haft kontakt med, er i sig selv mistænkeligt — også når indpakningen er perfekt.

2. Skal du underskrive eller åbne? Docusign findes for at få underskrifter. En mail, hvis eneste formål er at få dig til at åbne et vedhæftet eller delt dokument, bruger platformen som kuvert, ikke som signeringsværktøj.

3. Brug sikkerhedskoden i stedet for knappen. Hver ægte Docusign-mail indeholder en 32-tegns sikkerhedskode. Gå selv til docusign.com, vælg "Access Documents", og indsæt koden. Åbner dokumentet, er det ægte. Det er den eneste kontrol, angriberen ikke kan omgå — for den fjerner linket fra ligningen.

4. Ingen Microsoft-login efter et Docusign-klik. Docusign beder dig aldrig om din Microsoft 365-adgangskode. Dukker der en Microsoft-login op midt i et Docusign-forløb, skal du lukke fanen. Det er hele angrebet på ét skærmbillede.

5. Kig på det endelige domæne. Ikke det første — det sidste. Havner du på et .vu-domæne eller en adresse med tilfældigt blandede store og små bogstaver, er du et forkert sted.

Hvis du allerede har klikket

Rækkefølgen er vigtig her, og den er anderledes end ved klassisk phishing:

• Skift adgangskode først — men vær klar over, at det ikke er nok i sig selv.
• Log ud af alle sessioner. I Microsoft 365 gøres det via "Sign out everywhere" i din profil, eller af IT-afdelingen via Entra ID. Det er dette skridt, der invaliderer den stjålne sessionscookie. Uden det kan angriberen blive inde, selv efter et kodeskift.
• Tjek videresendelsesregler i din indbakke. Et af de første greb efter en overtagelse er en regel, der stille kopierer mails videre.
• Gennemgå godkendte OAuth-apps og fjern det, du ikke genkender.
• Slå passkey til, hvis din organisation understøtter det.
• Meld mailen. Docusign tager imod på verify@docusign.com.

Er du privatperson og i tvivl om, hvor galt det står til, er fremgangsmåden den samme, som når du modtager en afpresningsmail fra ShinyHunters: kontrollér, hvad der reelt er kompromitteret, i stedet for at handle på det, mailen påstår.

Hvad betyder det for danske virksomheder?

Docusign er udbredt i Danmark til netop de dokumenttyper, hvor et klik føles rutinemæssigt: ansættelseskontrakter, selskabsretlige dokumenter, lejeaftaler og handler formidlet af rådgivere. Elektroniske underskrifter er juridisk gyldige for langt de fleste aftaletyper herhjemme, og det er derfor helt normalt at få en signeringsanmodning fra en modpart, du ikke kender personligt.

Præcis den normalitet er angrebets råstof. En medarbejder i en bogholderifunktion, der får tilsendt en betalingsadvis, gør ikke noget usædvanligt ved at åbne den.

Danmark optræder ikke på Islands liste over ramte lande, men det siger mest om, hvor Island har målt. NovaCookies sælges åbent via Telegram og markedsføres mod Microsoft 365 — en platform, der bruges af stort set enhver dansk virksomhed af en vis størrelse. Der er intet i kittet, der er geografisk afgrænset, og der kræves ingen teknisk kunnen af køberen. Det er hele forretningsmodellen i phishing-as-a-service.

Mønsteret går igen på tværs af årets kampagner: angrebet vinder ikke ved at snyde teknikken, men ved at bruge en legitim tjeneste som mellemled. Det gælder også, når en falsk CAPTCHA får dig til selv at installere ransomware fra en helt almindelig hjemmeside.

Konklusion

NovaCookies ændrer ikke, hvad phishing er — men den flytter, hvor du skal kigge. Så længe angriberne kan købe sig adgang til at sende gennem Docusigns rigtige infrastruktur, vil afsenderadressen fortsætte med at være ægte, og mailfiltrene vil fortsætte med at lade den passere.

Det efterlader to ting, der virker. Den ene er en vane: aldrig at følge linket, men altid at hente dokumentet frem selv via sikkerhedskoden på docusign.com. Den anden er teknisk: passkeys eller FIDO2-nøgler, der gør det umuligt at aflevere sit login til en side, der ikke er den rigtige.

Det næste at holde øje med er, om Docusign strammer kontrollen med, hvem der får API-adgang til at sende kuverter. Indtil det sker, er det den samme lære som ved alle årets store kampagner: et ægte afsenderdomæne er ikke længere et bevis på noget som helst.

Kilder: The Hacker News og Dark Reading, baseret på research fra Island.