Email „Úložiště plné" je obľúbený nástroj phishingistov — pozrite sa na Return-Path

Upozornění na kvótu úložiště vás vystrašuje bez toho, aby vás požádalo o peníze, a právě proto to funguje. Indikátor není logo nebo formulace — je to hlavička Return-Path. Skutečné upozornění na kvótu od Microsoftu nebo Googlu přichází z vlastní podepsané domény služby. Padělané varianty používají podobné domény nebo hijackované servery třetích stran, a Return-Path je prozradí pokaždé.

Proč jsou emaily „úložiště plné" všude najednou?

Protože vytváří naléhavost bez červené vlajky v podobě žádosti o peníze. Falešná faktura vás vybídne k úhradě; upozornění na kvótu jen řekne „vaše schránka přestane přijímat poštu za 24 hodin — klikněte pro bezplatný upgrade". Žádná platba, žádná očividná výzva, takže si sleepíte. Phishing na přihlašovací údaje je zde motorem. Výzkumní pracovníci společnosti Microsoft opakovaně označili lákavky zaměřené na úložiště a kvótu jako trvalou šablonu v kampaních na krádež přihlašovacích údajů, právě proto, že nasměrují oběť na přihlašovací stránku namísto pokladu.

Rozsah je znepokojující. Zpráva APWG o trendech phishingových aktivit zaznamenala více než 963 000 phishingových útoků v jediném čtvrtletí 2024, přičemž webová pošta a SaaS patřily mezi nejčastěji cílené sektory. „Vaše schránka je plná" je levná na rozeslání, triviálně lokalizovatelná a přistane přesně tam, kde si o sobě mluví. Tato kombinace ji udržuje v intenzivní rotaci.

Co je Return-Path a kde ho najdu?

Je to skrytá obálková adresa, která říká poštovnímu systému, kam poslat selhané doručení, a zřídka odpovídá falešné řádce „Od". Přívětivý text „Od: Microsoft Account Team" je jen vzhled — může to napsat kdokoliv. Return-Path je nastaven odesílacím serverem a je to právě to, co SPF a DMARC skutečně kontrolují.

Chcete-li to vidět, otevřete nezpracovaný zdrojový kód zprávy. V Gmailu je to menu se třemi tečkami, poté „Zobrazit původní zprávu". V Outlooku otevřete zprávu a vyhledejte „Vlastnosti" pro internetové hlavičky. Hledejte tři řádky: Return-Path, Authentication-Results a podpisovou doménu v DKIM-Signature.

Skutečné upozornění na kvótu Googlu má Return-Path končící doménou kontrolovanou společností google.com a příslušné spf=pass. Skutečné upozornění od Microsoftu se ověřuje proti infrastruktuře microsoft.com nebo outlook.com. Pokud Return-Path čte bounce@mail-secure-upgrade.info, zatímco From tvrdí, že jde o Microsoft, obálka a maska si neodpovídají. Tato neshoda je podvod, uvedený prostým textem.

Jak projde falešný email s upozorněním na kvótu spamovým filtrem vůbec?

Často nespofuje doménu velké značky — hijackuje legitimní. Útočníci prolomí marketingový účet malé společnosti nebo neznámého SaaS odesílatele, který již má platné záznamy SPF a DKIM. E-mail se poté ověří bez problémů, protože skutečně přišel z tohoto serveru. Authentication-Results ukazuje dmarc=pass a váš filtr ho pustí dál.

To je past. Zelené ověření autenticity znamená, že zpráva skutečně přišla z domény v Return-Path — ne že by doména byla Microsoft. Metoda je tedy: přečtěte si doménu Return-Path a poté se zeptejte, zda má tato doména nějaký důvod vám posílat upozornění na úložiště Microsoftu. Doména kurýra, náhodná adresa .shop, kompromitovaný server brazilské municipality — žádný z nich nespravuje vaši kvótu Outlooku. Právě na tento typ neshody je AI schránka, která označuje phishing, postavena tak, aby vám to ukázala dřív, než ji otevřete, čtením hlaviček, které byste raději neviděli.

Co bych měl/a dělat, když mi taková zpráva přijde?

Nikdy neklikejte na tlačítko v emailu. Přejděte přímo na službu — sami si zadejte outlook.com nebo drive.google.com — a tam si ověřte své úložiště. Pokud se skutečně blížíte limitu, obě společnosti vám to ukážou v nastavení účtu, ne přes překvapivý odkaz.

Skutečné upozornění se také chová jinak. Google a Microsoft vás varují o úložišti v rámci produktu a na svých vlastních panelech účtů dlouho předtím, než vůbec nějaký email, a jejich zprávy vás netlačí do paniky odpočítáváním. Legitimní email s upozorněním na kvótu vás nesměruje na přihlašovací stránku v cizí doméně; padělané vždy ano, protože přihlašovací stránka je celý smysl — sklízí vaše heslo.

Poslední návyk: najeďte si kurzorem na tlačítko dřív, než na něj nekliknete. Pokud cílový hostitel nekončí na skutečné doméně značky, Return-Path vám řekl pravdu celou dobu.