El correo de «Almacenamiento de cuenta lleno» es favorito del phishing — mira la línea Return-Path

Un aviso de cuota de almacenamiento te asusta sin pedir ni un centavo, y eso es exactamente por qué funciona. La pista no es el logo ni la redacción — es el encabezado Return-Path. Un aviso genuino de cuota de Microsoft o Google viene del dominio de servicio firmado de esa empresa. El falso va en un dominio similar o en un servidor de terceros secuestrado, y el Return-Path lo delata cada vez.

¿Por qué de repente hay correos de «almacenamiento lleno» por todas partes?

Porque fabrican urgencia sin la bandera roja de una solicitud de dinero. Una factura falsa te pide que pagues; un aviso de cuota solo dice «tu bandeja dejará de recibir correo en 24 horas — haz clic para mejorar gratis». Sin pago, sin solicitud obvia, así que bajas la guardia. El phishing de credenciales es el motor aquí. Los investigadores de amenazas de Microsoft han marcado repetidamente los señuelos de almacenamiento y cuota como una plantilla duradera en campañas de robo de credenciales, precisamente porque conducen a la víctima a una página de login en lugar de un checkout.

La escala es la parte incómoda. El Phishing Activity Trends Report de APWG contó más de 963,000 ataques de phishing en un solo trimestre de 2024, con correo web y SaaS entre los sectores más atacados. «Tu bandeja está llena» es barato de enviar, trivialmente localizado, y llega exactamente al lugar del que está hablando. Esa combinación lo mantiene en rotación pesada.

¿Qué es el Return-Path y dónde lo encuentro?

Es la dirección del sobre oculta que le dice al sistema de correo dónde rebotar una entrega fallida, y rara vez coincide con una línea «From» suplantada. El amigable «From: Microsoft Account Team» es cosmético — cualquiera puede escribir eso. El Return-Path lo establece el servidor de envío y es lo que SPF y DMARC realmente verifican.

Para verlo, abre el código fuente sin procesar del mensaje. En Gmail, ese es el menú de tres puntos y luego «Mostrar original». En Outlook, abre el mensaje y busca «Propiedades» para encabezados de internet. Busca tres líneas: Return-Path, Authentication-Results y el dominio firmante en DKIM-Signature.

Un aviso real de cuota de Google tiene un Return-Path que termina en un dominio controlado por google.com y un spf=pass vinculado a él. Uno real de Microsoft se autentica contra infraestructura de microsoft.com u outlook.com. Si el Return-Path dice bounce@mail-secure-upgrade.info mientras el From pretende ser Microsoft, el sobre y el disfraz no coinciden. Esa falta de coincidencia es la estafa, expresada en texto plano.

¿Cómo pasa un correo falso de cuota el filtro de spam en primer lugar?

A menudo no suplanta el dominio de la marca grande — secuestra uno legítimo. Los atacantes comprometen la cuenta de marketing de una pequeña empresa o un remitente SaaS oscuro que ya tiene registros SPF y DKIM válidos. El correo luego pasa la autenticación honestamente, porque genuinamente vino de ese servidor. Authentication-Results muestra dmarc=pass, y tu filtro lo deja pasar.

Esa es la trampa. Una verificación de autenticación verde significa que el mensaje realmente vino del dominio en el Return-Path — no que el dominio sea Microsoft. Así que el método es: lee el dominio Return-Path y luego pregúntate si ese dominio tiene algún negocio enviándote un aviso de almacenamiento de Microsoft. Un dominio de mensajería, una dirección aleatoria .shop, el servidor comprometido de un municipio brasileño — ninguno de ellos ejecuta tu cuota de Outlook. Este es el tipo de falta de coincidencia que una bandeja de entrada con IA que marca phishing está diseñada para exponer antes de que la abras, leyendo encabezados que preferirías no ver.

¿Qué debería hacer realmente cuando uno llega?

Nunca hagas clic en el botón del correo. Ve al servicio directamente — escribe outlook.com o drive.google.com tú mismo — y revisa tu almacenamiento allí. Si genuinamente estás cerca de un límite, ambas empresas lo muestran en la configuración de la cuenta, no a través de un enlace sorpresa.

Los avisos reales también se comportan diferente. Google y Microsoft te advierten sobre almacenamiento dentro del producto y en sus propios paneles de cuenta mucho antes de cualquier correo, y sus mensajes no te cuentan hacia atrás en pánico. Un correo de cuota legítimo no te enrutará a una página de login en un dominio no relacionado; el falso siempre lo hace, porque la página de login es el punto entero — cosecha tu contraseña.

Un último hábito: pasa el cursor sobre el botón antes de que no hagas clic en él. Si el host de destino no termina en el dominio real de la marca, el Return-Path te estaba diciendo la verdad todo el tiempo.