Faux DocuSign : « document à signer »

« Vous avez reçu un document à signer », « Veuillez consulter et signer ce contrat », « Facture en attente de signature »… Ces messages imitent DocuSign, un service de signature électronique très répandu. Les escrocs l'aiment parce qu'un document à signer paraît normal, surtout au travail.

Comment fonctionne l'arnaque

1. Vous recevez un email avec un logo DocuSign et un bouton « Consulter le document ».
2. Le message vient parfois d'un vrai compte piraté, donc d'un contact que vous connaissez.
3. Le bouton mène vers une fausse page de connexion (Microsoft 365, Google, etc.).
4. Vous saisissez votre email et votre mot de passe : les escrocs les récupèrent.
5. Avec votre boîte mail, ils envoient le même piège à vos contacts ou tentent de détourner des paiements.

Les signes qui doivent vous alerter

• Vous n'attendez aucun document de cette personne ou de cette entreprise.
• L'adresse de l'expéditeur : le nom affiché dit « DocuSign », mais l'adresse vient d'un autre domaine ou d'une boîte gratuite.
• Un lien étrange : passez la souris dessus sans cliquer. Si l'adresse n'est pas celle de DocuSign, méfiez-vous.
• Un sujet vague : « Document important », « Contrat », « Facture », sans détail précis.
• L'urgence : « à signer avant ce soir », « le lien expire ».
• Une pièce jointe (PDF, HTML) qui contient elle-même le lien. Un vrai envoi passe par un lien vers le service, pas par un fichier à ouvrir.
• Une demande de mot de passe de messagerie pour simplement « voir » le document.

Un message peut être très bien imité. Le plus sûr est de ne jamais passer par le lien reçu.

Les bons réflexes

1. Ne cliquez pas et n'ouvrez pas la pièce jointe.
2. Si vous connaissez l'expéditeur, appelez-le ou écrivez-lui sur un autre canal pour savoir s'il a bien envoyé ce document.
3. Si vous avez un compte DocuSign, connectez-vous en tapant vous-même l'adresse du site : les documents en attente y apparaissent.
4. Signalez le message sur signal-spam.fr, et un site frauduleux sur la plateforme Pharos (internet-signalement.gouv.fr).
5. Pour de l'aide, rendez-vous sur cybermalveillance.gouv.fr.

Si vous avez déjà cliqué ou saisi un mot de passe

• Changez votre mot de passe immédiatement, depuis un appareil de confiance, puis ceux des sites où vous le réutilisez.
• Activez la double authentification.
• Regardez les règles de transfert et les messages envoyés dans votre boîte : les escrocs y laissent parfois des traces.
• Prévenez vos contacts qu'un message suspect a pu partir de chez vous.
• Au travail, alertez le service informatique sans attendre.
• Si vous avez perdu de l'argent, déposez plainte et gardez les preuves.

Pour apprendre à reconnaître les autres messages piégés, lisez comment repérer un email de phishing. Le procédé rappelle la fraude au président : un message qui semble normal, mais qui pousse à agir vite.

Vérifiez l'email avec Fishi

Transférez le message suspect à check@fishi.email, de préférence en pièce jointe. Fishi vérifie l'expéditeur, regarde où mène vraiment le lien et s'il figure sur des listes de sites de phishing, puis vous répond avec un verdict clair et quoi faire. C'est gratuit et sans compte. Aucun outil n'est parfait : en cas de doute, demandez toujours à l'expéditeur par un autre moyen.