L'email « Stockage du compte plein » est le favori des phisheurs — regardez la Return-Path

Un avertissement de quota de stockage vous fait peur sans vous demander un centime, ce qui est exactement la raison pour laquelle ça marche. L'indice n'est pas le logo ou le libellé — c'est l'en-tête Return-Path. Un vrai avis de quota Microsoft ou Google provient du propre domaine de service signé de cette entreprise. Le faux utilise un domaine qui ressemble à s'y méprendre ou un serveur tiers détourné, et la Return-Path le trahit à chaque fois.

Pourquoi les emails « stockage plein » sont-ils soudainement partout ?

Parce qu'ils créent une urgence sans le drapeau rouge d'une demande de paiement. Un faux facture vous demande de payer ; un avertissement de quota dit simplement « votre boîte de réception n'acceptera plus de mail dans 24 heures — cliquez pour passer à une version gratuite supérieure. » Pas de paiement, pas de demande évidente, donc votre garde s'abaisse. Le phishing d'identifiants est le moteur ici. Les chercheurs en menaces de Microsoft ont à plusieurs reprises signalé les leurres liés au stockage et aux quotas comme un modèle durable dans les campagnes de collecte d'identifiants, précisément parce qu'ils acheminent la victime vers une page de connexion plutôt qu'une page de paiement.

L'ampleur est la partie inconfortable. Le rapport d'activité de phishing de l'APWG a compté plus de 963 000 attaques de phishing en un seul trimestre de 2024, avec la messagerie Web et les SaaS parmi les secteurs les plus ciblés. « Votre boîte aux lettres est pleine » est bon marché à envoyer, trivialement localisé, et arrive exactement à l'endroit dont il parle. Cette combinaison le maintient en rotation intensive.

Qu'est-ce que la Return-Path et où la trouver ?

C'est l'adresse d'enveloppe cachée qui indique au système de messagerie où renvoyer une livraison échouée, et elle ne correspond que rarement à une ligne « De » usurpée. Le sympathique « De : Microsoft Account Team » est cosmétique — n'importe qui peut taper ça. La Return-Path est définie par le serveur d'envoi et c'est ce que SPF et DMARC vérifient réellement.

Pour la voir, ouvrez la source brute du message. Dans Gmail, c'est le menu à trois points, puis « Afficher l'original ». Dans Outlook, ouvrez le message et cherchez les « Propriétés » pour les en-têtes Internet. Cherchez trois lignes : Return-Path, Authentication-Results, et le domaine de signature dans DKIM-Signature.

Un vrai avis de quota Google a une Return-Path se terminant par un domaine contrôlé par google.com et un spf=pass qui y est associé. Un vrai de Microsoft s'authentifie contre l'infrastructure microsoft.com ou outlook.com. Si la Return-Path se lit bounce@mail-secure-upgrade.info tandis que l'expéditeur prétend être Microsoft, l'enveloppe et le costume ne correspondent pas. Ce décalage est l'arnaque, énoncée en texte brut.

Comment un faux email de quota passe-t-il le filtre à spam ?

Souvent il n'usurpe pas le domaine de la grande marque — il détourne un domaine légitime. Les attaquants compromettent un compte de marketing d'une petite entreprise ou un expéditeur SaaS obscur qui a déjà des enregistrements SPF et DKIM valides. L'email passe alors l'authentification honnêtement, parce qu'il provient réellement de ce serveur. Authentication-Results affiche dmarc=pass, et votre filtre le laisse passer.

C'est le piège. Une vérification d'authentification verte signifie que le message provient réellement du domaine dans la Return-Path — pas que le domaine est Microsoft. Donc la méthode est : lire le domaine Return-Path, puis demander-vous si ce domaine a une raison quelconque de vous envoyer une alerte de stockage Microsoft. Le domaine d'un coursier, une adresse .shop aléatoire, le serveur compromis d'une municipalité brésilienne — aucun d'eux ne gère votre quota Outlook. C'est le genre de décalage qu'une boîte de réception IA qui signale le phishing est construite pour faire remonter avant que vous l'ouvriez jamais, en lisant des en-têtes que vous préférerez ignorer.

Qu'est-ce que je devrais vraiment faire quand il arrive ?

Ne cliquez jamais sur le bouton du email. Allez directement au service — tapez outlook.com ou drive.google.com vous-même — et vérifiez votre stockage là. Si vous êtes vraiment près de la limite, les deux entreprises l'affichent dans les paramètres du compte, pas via un lien surprise.

Les vrais avis se comportent aussi différemment. Google et Microsoft vous avertissent du stockage à l'intérieur du produit et dans leurs propres tableaux de bord de compte bien avant tout email, et leurs messages ne vous mettent pas un compte à rebours pour vous pousser à la panique. Un vrai email de quota ne vous acheminera pas vers une page de connexion sur un domaine non lié ; le faux le fait toujours, parce que la page de connexion est le seul point — elle collecte votre mot de passe.

Une dernière habitude : survolez le bouton avant que vous ne le cliquiez pas. Si l'hôte de destination ne se termine pas par le vrai domaine de la marque, la Return-Path vous disait la vérité depuis le début.

@@END@@