Campanha de phishing personifica o DocuSign com kit que clona a identidade visual da vítima em tempo real
Uma campanha ativa desde agosto de 2025 usa e-mails que imitam notificações do DocuSign para levar vítimas corporativas a páginas de captura de credenciais construídas com o framework LogoKit, que busca automaticamente o logo e o layout da própria empresa da vítima para dar mais credibilidade ao golpe. A infraestrutura fica hospedada em gateways IPFS e buckets S3, dificultando remoção rápida.
A campanha analisada pelo Group-IB mostra como phishing de documentos corporativos evoluiu para algo bem mais sofisticado do que uma página genérica de login falso. O e-mail isca imita uma notificação legítima do DocuSign pedindo revisão de um documento, muitas vezes falsificando o remetente para parecer vir do próprio domínio da vítima — um detalhe que, somado a falhas de SPF e ausência de assinatura DKIM, é justamente o tipo de sinal técnico que sistemas de proteção de e-mail corporativo conseguem captar antes da entrega.
O diferencial técnico da campanha é o uso do LogoKit, um framework de phishing que monta a página de captura de credenciais dinamicamente no momento em que a vítima clica no link. Como o e-mail da vítima costuma ir embutido na própria URL, o kit consulta serviços como thum.io e Clearbit para buscar automaticamente o favicon e até um screenshot do site real da empresa da vítima, produzindo uma tela de login praticamente indistinguível da original com esforço quase zero do atacante — é phishing personalizado em escala industrial.
A hospedagem em gateways IPFS e buckets AWS S3 é uma escolha deliberada para dificultar a resposta: esses ambientes são descentralizados ou multilocatário, o que atrasa remoções e permite reaproveitar a mesma infraestrutura para múltiplas campanhas simultâneas contra empresas diferentes. Como o objetivo final é a credencial corporativa, esse tipo de ataque costuma ser porta de entrada para fraudes maiores, como comprometimento de e-mail corporativo (BEC) e desvio de pagamentos.
Do lado defensivo, o caso reforça que a defesa eficaz contra esse tipo de kit não pode depender só do usuário reconhecer visualmente uma página falsa, já que ela é construída para ser idêntica à legítima. Faz mais sentido investir em análise automatizada de remetente (SPF/DKIM/DMARC, inconsistências de Reply-To), classificação de linguagem suspeita por machine learning e, principalmente, proteção "time-of-click" que reavalia o destino do link no momento em que é clicado, e não apenas na entrega do e-mail.