Az „Account Storage Full" e-mail a phishing kedvence — nézd meg a Return-Path fejléc sort

A tárhelykihasználtságra vonatkozó figyelmeztetés akkor is ijesztget, ha nem kér egy fillért sem — és éppen ezért működik. A megbízható jel nem a logó vagy a megfogalmazás — a Return-Path fejléc. A valódi Microsoft vagy Google kvótafigyelmeztetés az adott vállalat saját aláírt szerverdoménjéről érkezik. A hamis pedig egy hasonló címet használó domainről vagy egy feltört harmadik féltől származó szerverről indítódik, és a Return-Path ezt minden alkalommal leleplezi.

Miért jelennek meg az „Account Storage Full" e-mailek hirtelen mindenütt?

Azért, mert sürgetéseket teremtenek anélkül, hogy egy pénzigény vörös zászlójaként működnének. A hamis számla arra kérhet, hogy fizess; a kvótafigyelmeztetés csak azt mondja: „a beérkező postafiókod 24 órán belül nem fog tudni fogadni leveleket — kattints az ingyenes frissítésért." Nincs fizetés, nincs nyilvánvaló kérés, így az óvatosságod csökken. A hitelesítési adatok phishingje az itt működő motor. A Microsoft fenyegetésekkel foglalkozó kutatói többször is jeleztek hitelesítési adatokat tartalmazó és kvótaügyre vonatkozó csalit, mint a hitelesítési adatokat lehalászó kampányokban használt megbízható sablont, pontosan azért, mert a gyanútlan felhasználót egy bejelentkezési oldalra irányítja ahelyett, hogy egy fizetési oldal felé. A skála a kínos rész. Az APWG Phishing Activity Trends Report 2024 egyetlen negyedévében több mint 963 000 phishing-támadást számlált meg, a webmail és a SaaS pedig a leginkább célpontok között voltak. A „postafiókod megtelt" e-mail olcsó a küldéshez, triviálisan lokalizálható, és pontosan abba a helyre érkezik, amelyről beszél. Ez a kombináció tartja aktív forgalomban.

Mi az a Return-Path, és hol találom meg?

Ez az a rejtett cím, amely azt mondja a levelezési rendszernek, hogy hova kell küldenie a meghiúsult kézbesítéseket, és ritkán egyezik meg egy meghamisított „From" sorral. A barátságos „From: Microsoft Account Team" csak külsőség — bárki megírhatja. A Return-Path-ot a küldő szerverhez beállítja, és az SPF és a DMARC valójában ezt ellenőrzik.

Az előző verzió megtekintéséhez nyisd meg az üzenet nyers forrását. A Gmailben ez a három pont menü, majd a „Eredeti megjelenítése". Az Outlookban nyisd meg az üzenetet, és az internetes fejléceknél keress a „Tulajdonságok" között. Keress három sort: Return-Path, Authentication-Results és az aláírási tartományt a DKIM-Signature-ben.

A valódi Google kvótafigyelmeztetésnek van egy google.com-hoz kötött domainről indító Return-Path-ja és egy ehhez tartozó spf=pass. A valódi Microsoft-ét a microsoft.com vagy az outlook.com infrastruktúrájához hitelesítik. Ha a Return-Path a bounce@mail-secure-upgrade.info, míg a From azt állítja, hogy Microsoft, az boríték és az öltözet nem egyezik. Ez az eltérés a scam, tiszta szövegben kijelentve.

Hogyan sikerül egy hamis kvótae-mailnek átjutnia a spamszűrőn?

Gyakran nem hamisítja meg a nagy márka domainét — egy valódi domainet feltör. A támadók egy kis cég marketingfiókját vagy egy homályos SaaS-küldőjét kompromittálják, amely már rendelkezik érvényes SPF- és DKIM-rekorddal. Az e-mail ezután őszintén megfelel a hitelesítésnek, mert ténylegesen az adott szerverről érkezett. Az Authentication-Results a dmarc=pass értéket mutatja, és a szűrő átenged.

Ez a csapda. A zöld hitelesítési jelölőnégyzet azt jelenti, hogy az üzenet valóban a Return-Path-ban szereplő domainből érkezett — nem azt, hogy a domain a Microsoft. Tehát az eljárás a következő: olvasd el a Return-Path domainet, majd kérdezd meg magadtól, hogy ennek a domainnek van-e valami köze ahhoz, hogy Microsoft-tárhelyriasztást küldjön. Egy futárszolgálat domainje, egy véletlenszerű .shop cím, egy brazíliai település feltört szervere — egyikük sem kezeli az Outlook-kvótádat. Ez az a fajta eltérés, amelyet az olyan AI postafiók, amely jelzi a phishing-et, még az előtt felszínre tud hozni, hogy egyáltalán megnyitnád, azáltal, hogy olyan fejléceket olvas, amelyekre inkább nem szívesen nézssl.

Mit érdemek valójában tenni, ha egy ilyen e-mail érkezik?

Soha ne kattints az e-mailben lévő gombra. Menj közvetlenül a szolgáltatáshoz — írja be az outlook.com vagy a drive.google.com nevet saját kezűleg — és ellenőrizd ott a tárhelyhasználatot. Ha valóban közel vagy a limithez, mindkét vállalat az account settings-ben mutatja, nem egy meglepetés linkek révén.

A valódi értesítések másképp is viselkednek. A Google és a Microsoft figyelmeztetik a terméken belül és a saját account dashboardjaikon a tárhelyhasználatról jóval az e-mail előtt, és az üzeneteik nem a pánikba sodor visszaszámlálóval. A valódi kvótae-mail nem irányít egy független domein bejelentkezési oldalára; a hamis mindig ezt teszi, mert a bejelentkezési oldal az egész pont — jelszódat gyűjti be.

Még egy szokás: kövesd az egér az gomb felett, mielőtt nem kattintasz rá. Ha a céladapter nem a márka valódi domeinj-ére végződik, a Return-Path már az elég mellett mondta el az igazságot.