L'email "Memoria account piena" è il preferito dei phisher — Guarda il Return-Path

Un avviso di quota di archiviazione ti spaventa senza chiederti un centesimo, ed è esattamente per questo che funziona. L'indicatore non è il logo o le parole — è l'intestazione Return-Path. Un vero avviso di quota di Microsoft o Google viene dal dominio del servizio firmato di quella azienda. Il falso cavalca un lookalike o un server di terze parti dirottato, e il Return-Path lo tradisce ogni volta.

Perché le email "memoria piena" sono improvvisamente ovunque?

Perché generano urgenza senza la bandiera rossa di una richiesta di denaro. Una fattura falsa ti chiede di pagare; un avviso di quota dice solo "la tua casella smetterà di ricevere posta tra 24 ore — clicca per aggiornare gratis." Niente pagamento, niente richiesta ovvia, quindi la tua guardia cala. Il credential phishing è il motore qui. I ricercatori delle minacce di Microsoft hanno ripetutamente segnalato lure a tema storage e quota come un modello duraturo nelle campagne di credential harvesting, proprio perché indirizzano la vittima a una pagina di login piuttosto che a un checkout.

La scala è la parte scomoda. L'APWG's Phishing Activity Trends Report ha conteggiato oltre 963.000 attacchi di phishing in un singolo trimestre del 2024, con webmail e SaaS tra i settori più bersagliati. "La tua casella è piena" è economico da inviare, banalmente localizzabile, e atterra esattamente nel posto di cui sta parlando. Quella combinazione lo mantiene in rotazione pesante.

Cos'è il Return-Path e dove lo trovo?

È l'indirizzo della busta nascosto che dice al sistema di posta dove rimandare un'indirizzo non consegnato, e raramente corrisponde a una riga "From" falsificata. Il "From: Microsoft Account Team" amichevole è cosmetico — chiunque può digitarlo. Il Return-Path è impostato dal server di invio ed è quello che SPF e DMARC effettivamente controllano.

Per vederlo, apri il codice sorgente grezzo del messaggio. In Gmail, è il menu a tre punti, poi "Mostra originale." In Outlook, apri il messaggio e guarda "Proprietà" per le intestazioni internet. Scannerizza tre righe: Return-Path, Authentication-Results, e il dominio di firma in DKIM-Signature.

Un vero avviso di quota di Google ha un Return-Path che termina con un dominio controllato da google.com e un spf=pass associato. Uno vero di Microsoft si autentica contro l'infrastruttura microsoft.com o outlook.com. Se il Return-Path dice bounce@mail-secure-upgrade.info mentre il From dichiara di essere Microsoft, la busta e il costume non corrispondono. Quella mancata corrispondenza è la truffa, dichiarata in testo semplice.

Come fa un'email di quota falsa a superare il filtro spam del tutto?

Spesso non falsifica il dominio del grande brand — dirottà uno legittimo. Gli attaccanti compromettono l'account di marketing di una piccola azienda o un mittente SaaS oscuro che ha già record SPF e DKIM validi. L'email passa quindi l'autenticazione onestamente, perché è venuta genuinamente da quel server. Authentication-Results mostra dmarc=pass, e il tuo filtro la lascia passare.

Quella è la trappola. Un controllo di autenticazione verde significa che il messaggio è veramente venuto dal dominio nel Return-Path — non che il dominio sia Microsoft. Quindi il metodo è: leggi il dominio Return-Path, poi chiediti se quel dominio ha qualche motivo per inviarti un avviso di archiviazione di Microsoft. Un dominio di corriere, un indirizzo .shop casuale, un server compromesso di un comune brasiliano — nessuno di loro gestisce la tua quota Outlook. Questo è il tipo di mancata corrispondenza che un inbox AI che segnala il phishing è costruito per far emergere prima che tu lo apra mai, leggendo intestazioni che preferisci non leggere.

Cosa dovrei fare quando uno atterra?

Non cliccare mai il pulsante nell'email. Vai al servizio direttamente — digita outlook.com o drive.google.com tu stesso — e controlla il tuo spazio di archiviazione lì. Se sei genuinamente vicino a un limite, entrambe le aziende lo mostrano nelle impostazioni dell'account, non tramite un link a sorpresa.

I veri avvisi si comportano anche diversamente. Google e Microsoft ti avvertono dell'archiviazione dentro il prodotto e nei loro stessi dashboard di account molto prima di qualsiasi email, e i loro messaggi non ti fanno un countdown per spingerti nel panico. Un'email di quota legittima non ti indirizzerà a una pagina di login su un dominio non correlato; la falsa lo fa sempre, perché la pagina di login è l'intero punto — raccoglie la tua password.

Un'ultima abitudine: passa il mouse sul pulsante prima di non cliccarlo. Se l'host di destinazione non termina nel dominio reale del brand, il Return-Path ti stava dicendo la verità tutto il tempo.