'Kontoen er fuld'-e-mailen er et favoritværktøj for phishingangreb — se Return-Path-linjen

En lagringskvotatvarsling skræmmer dig uden at bede om en eneste krone, hvilket er præcis grunden til at den virker. Kendetegnet er ikke logoet eller ordlyden — det er Return-Path-headeren. En ægte Microsoft eller Google kvotanotice kommer fra det pågældende selskabs egen signerede servicedomæne. Den falske bruger en tilsvarende eller en kapret tredjepartsserver, og Return-Path afsløret den hver gang.

Hvorfor dukker 'lagring fuld'-e-mails pludselig op overalt?

Fordi de skaber hastværk uden det rødt flag, der følger med en pengeforespørgsel. En falsk faktura beder dig om at betale; en kvotavarsling siger bare "din indbakke stopper med at modtage mails om 24 timer — klik for at opgradere gratis." Ingen betaling, intet oplagt ønske, så dit forsvar sænkes. Credential phishing er motoren her. Microsofts truselforskere har gentagne gange markeret lager- og kvota-tematiserede lockere som en holdbar skabelon i credential-harvesting-kampagner, præcis fordi de sender offeret til en loginside i stedet for til en checkout.

Skalaen er den ubehagelige del. APWG's Phishing Activity Trends Report tællede over 963.000 phishingangreb i et enkelt kvartal i 2024, hvor webmail og SaaS var blandt de mest målrettede sektorer. "Din mailboks er fuld" er billigt at sende, trivielt lokaliseret, og lander præcis der, hvor det handler om. Den kombination holder det i tung rotation.

Hvad er Return-Path, og hvor finder jeg det?

Det er konvolutadressen, der fortæller mailsystemet, hvor det skal returnere en mislykket levering, og den matcher sjældent en forfalsket "From"-linje. Den venlige "From: Microsoft Account Team" er kosmetik — enhver kan skrive det. Return-Path er sat af afsendelsesserveren og er det, som SPF og DMARC faktisk tjekker imod.

For at se det skal du åbne meddelelsens rå kilde. I Gmail er det treprik-menuen, derefter "Vis original." I Outlook åbner du meddelelsen og kigger på "Egenskaber" for internetheadere. Scan efter tre linjer: Return-Path, Authentication-Results og signeringsdomænet i DKIM-Signature.

En ægte Google-kvotanotice har en Return-Path, der ender på et google.com-kontrolleret domæne og en spf=pass, der er knyttet til det. En ægte Microsoft tilvejebringer godkendelse mod microsoft.com- eller outlook.com-infrastruktur. Hvis Return-Path læser bounce@mail-secure-upgrade.info, mens From hævder at være Microsoft, matcher konvolutten og kostumet ikke. Det misforhold er svindlen, angivet i klartekst.

Hvordan passerer en falsk kvota-e-mail spamfilteret overhovedet?

Ofte forfalskerer den ikke det store mærkes domæne — den kaprer et legitimt. Angribere kompromitterer en lille virksomheds marketingkonto eller en obskur SaaS-afsender, der allerede har gyldige SPF- og DKIM-poster. E-mailen passerer derefter godkendelse ærligt, fordi den virkelig kom fra den pågældende server. Authentication-Results viser dmarc=pass, og dit filter bølger den igennem.

Det er fælden. En grøn godkendelseskontrol betyder, at meddelelsen virkelig kom fra domænet i Return-Path — ikke at domænet er Microsoft. Så metoden er: læs Return-Path-domænet, og spørg derefter dig selv, om det pågældende domæne har noget erhverv med at sende dig en Microsoft-lageradvarsel. En kurerdomæne, en tilfældig .shop-adresse, en brasiliansk kommunes kapret server — ingen af dem kører din Outlook-kvota. Dette er den slags misforhold, som en AI-indbakke, der markerer phishing, er bygget til at dække før du nogensinde åbner den, ved at læse headere, som du hellere ikke ville.

Hvad skal jeg faktisk gøre, når en lander?

Klik aldrig på knappen i e-mailen. Gå til tjenesten direkte — skriv outlook.com eller drive.google.com selv — og tjek dit lager der. Hvis du virkelig er tæt på en grænse, viser begge virksomheder det i kontoindstillingerne, ikke via et overraskelseslink.

De ægte noticeringer opfører sig også anderledes. Google og Microsoft advarer dig om lager inden for produktet og på deres egne kontoudukontrol længe før nogen e-mail, og deres meddelelser udsender dig ikke på panik med nedtælling. En legitim kvota-e-mail vil ikke rute dig til en loginside på et urelateret domæne; den falske gør det altid, fordi loginside er hele pointen — den høster dit adgangskode.

En sidste vane: hold musen over knappen før du ikke klikker på den. Hvis bestemmelsesværten ikke ender på mærkets rigtige domæne, fortalte Return-Path dig sandheden hele tiden.