ایمیل «فضای ذخیره‌سازی پر شده» یک ترفند فیشینگ محبوب است — Return-Path را بررسی کنید

هشدار سهمیه ذخیره‌سازی شما را بدون درخواست پولی ترساند، که دقیقاً همان دلیلی است که کار می‌کند. نشانه‌ای که خطا می‌دهد لوگو یا الفاظ نیست — خط Return-Path است. یک هشدار سهمیه واقعی از Microsoft یا Google از دامنه‌ی سرویس امضاشده‌ی خود آن شرکت می‌آید. جعلی از یک آدرس شبیه‌سازی شده یا یک سرور شخص ثالث ربوده شده سوار می‌شود، و Return-Path آن را هر بار لو می‌دهد.

چرا ایمیل‌های «صندوق پر شده» ناگهان در همه جا هستند؟

زیرا بدون درخواست پولی فوریت ایجاد می‌کنند. یک فاکتور جعلی از شما می‌خواهد پول بپردازید؛ یک هشدار سهمیه فقط می‌گوید «صندوق شما در ۲۴ ساعت دیگر ایمیل دریافت نمی‌کند — برای ارتقا رایگان کلیک کنید.» هیچ پرداختی نیست، هیچ درخواست آشکاری نیست، بنابراین مراقبت شما کاهش می‌یابد. فیشینگ اطلاعات کاربری موتور این کار است. محققان تهدید Microsoft بارها هشدارهای مرتبط با ذخیره‌سازی و سهمیه را به‌عنوان یک الگوی پایدار در کمپین‌های جمع‌آوری اطلاعات کاربری علامت‌گذاری کرده‌اند، دقیقاً زیرا آن‌ها قربانی را به صفحه ورود بدل می‌کنند نه یک صفحه پرداخت.

مقیاس قسمت ناراحت‌کننده است. گزارش Phishing Activity Trends Report از APWG بیش از ۹۶۳٬۰۰۰ حمله فیشینگ را در یک سه‌ماهه ۲۰۲۴ شمارش کرد، و webmail و SaaS در میان بخش‌های هدف‌قرار گرفته شده‌ی بیشتر قرار دارند. «صندوق شما پر است» ارسال کردن آن ارزان است، بی‌اهمیت محلی‌سازی شده است، و دقیقاً در جایی فرود می‌آید که درباره‌ی آن صحبت می‌کند. این ترکیب آن را در چرخش سنگین نگه می‌دارد.

Return-Path چیست و من آن را کجا پیدا کنم؟

این آدرس پاکت پنهانی است که به سیستم پست می‌گوید کجا یک تحویل ناموفق را برگرداند، و به ندرت با یک خط «From» جعلی مطابقت دارد. «From: Microsoft Account Team» دوستانه صرفاً یک لباس است — هرکسی می‌تواند آن را بنویسد. Return-Path توسط سرور فرستنده تنظیم می‌شود و آن چیزی است که SPF و DMARC واقعاً بر آن بررسی می‌کنند.

برای دیدن آن، منبع خام پیام را باز کنید. در Gmail، منوی سه‌نقطه، سپس «Show original» است. در Outlook، پیام را باز کنید و برای سرصحفه‌های اینترنتی به «Properties» نگاه کنید. برای سه خط اسکن کنید: Return-Path، Authentication-Results، و دامنه‌ی امضا در DKIM-Signature.

یک هشدار سهمیه واقعی از Google یک Return-Path دارد که به دامنه‌ای کنترل‌شده‌ی google.com ختم می‌شود و یک spf=pass به آن گره‌خورده است. یک Microsoft واقعی علیه زیرساخت microsoft.com یا outlook.com احراز هویت می‌شود. اگر Return-Path با bounce@mail-secure-upgrade.info خوانده شود در حالی که From ادعا می‌کند Microsoft باشد، پاکت و لباس با هم مطابقت ندارند. این عدم تطابق کلاهبرداری است، که در متن ساده بیان شده است.

یک ایمیل سهمیه جعلی چگونه از فیلتر هرزنامه عبور می‌کند؟

اغلب دامنه‌ی برند بزرگ را جعل نمی‌کند — یک دامنه‌ی مشروع را ربوده است. مهاجمان یک شرکت کوچک یا یک فرستنده SaaS نامعلومی را در نظر می‌گیرند که قبلاً رکوردهای SPF و DKIM معتبر دارند. سپس ایمیل احراز هویت را صادقانه عبور می‌دهد، زیرا واقعاً از آن سرور آمده است. Authentication-Results نمایش dmarc=pass می‌دهد، و فیلتر شما آن را عبور می‌دهد.

این تله است. یک علامت احراز هویت سبز به معنای این است که پیام واقعاً از دامنه‌ی Return-Path آمده است — نه این‌که دامنه Microsoft است. بنابراین روش این است: دامنه Return-Path را بخوانید، سپس بپرسید آیا آن دامنه کاری دارد که یک هشدار ذخیره‌سازی Microsoft برای شما بفرستد. دامنه‌ی پیک‌رسان، یک آدرس .shop تصادفی، سرور ربوده شده‌ی یک شهرداری برزیلی — هیچ یک از آن‌ها سهمیه Outlook شما را اجرا نمی‌کنند. این نوع عدم تطابقی است که صندوق کاربری AI که فیشینگ را علامت‌گذاری می‌کند قبل از این‌که شما آن را باز کنید، با خواندن سرصحفه‌هایی که شما ترجیح می‌دهید نخوانید، آن را سطح می‌دهد.

وقتی یکی فرود می‌آید، من واقعاً چه کاری باید انجام دهم؟

هرگز روی دکمه‌ی ایمیل کلیک نکنید. مستقیماً به سرویس بروید — خود outlook.com یا drive.google.com را تایپ کنید — و فضای خود را آنجا بررسی کنید. اگر واقعاً نزدیک یک حد هستید، هر دو شرکت آن را در تنظیمات حساب نشان می‌دهند، نه از طریق یک لینک شگفت‌انگیز.

هشدارهای واقعی همچنین متفاوتی رفتار می‌کنند. Google و Microsoft شما را درباره‌ی ذخیره‌سازی در داخل محصول و در داشبوردهای حساب خود خیلی قبل از هر ایمیلی هشدار می‌دهند، و پیام‌های آن‌ها شما را به وحشت با شمارش معکوس نفس نمی‌کشند. یک ایمیل سهمیه قانونی شما را به یک صفحه ورود در یک دامنه‌ی نامرتبط هدایت نخواهد کرد؛ جعلی همیشه این‌طور می‌کند، زیرا صفحه‌ی ورود کل نقطه است — رمز عبور شما را جمع‌آوری می‌کند.

یک عادت آخر: قبل از این‌که روی دکمه کلیک نکنید، بر روی آن حرکت کنید. اگر میزبان مقصد با دامنه‌ی واقعی برند ختم نشود، Return-Path تمام وقت حقیقت را می‌گفت.