「アカウントストレージ満杯」メールはフィッシングの常套手段—Return-Pathヘッダーを見よう

ストレージクォータ警告は、金銭を要求することなく不安を与えます。これが機能する理由そのものです。本物のMicrosoftやGoogleのクォータ通知は、その企業自身の署名付きサービスドメインから送信されます。偽物はルックアライク（類似サイト）か、乗っ取られた第三者のサーバーを使用し、Return-Pathがいつも正体を暴きます。

なぜ「ストレージ満杯」メールが急に増えているのか？

金銭要求という危険信号を伴わずに緊急性を生み出すからです。偽の請求書はあなたに支払いを求めます。クォータ警告はこう言うだけです：「あなたのインボックスは24時間以内にメール受信を停止します—無料でアップグレードするにはクリック」。支払いなし、明白な要求がないので、警戒が低下します。認証情報フィッシングがここでのエンジンです。Microsoftの脅威研究者たちは、ストレージやクォータをテーマにしたおとり電子メールを認証情報収集キャンペーンの耐久性のあるテンプレートとして何度も指摘してきました。正確には、被害者をチェックアウトページではなくログインページへ誘導するからです。

規模が不安な部分です。APWGの「フィッシング活動トレンドレポート」は2024年の単一四半期で963,000件以上のフィッシング攻撃を計数しており、ウェブメールとSaaSが最も標的にされるセクターです。「あなたのメールボックスがいっぱいです」は送信コストが低く、ローカライズが簡単で、ちょうどそれについて述べている場所に到着します。この組み合わせにより、それは頻繁に使用されています。

Return-Pathとは何で、どこで見つけるのか？

配送不可メールをどこにバウンス（返送）するかをメールシステムに伝える隠されたエンベロープアドレスです。スプーフィングされた「From」行と一致することはめったにありません。親切な「From: Microsoft Account Team」は見かけのだけです—誰でもそう入力できます。Return-Pathは送信サーバーによって設定され、SPFとDMARCが実際にチェックする対象です。

これを見るには、メッセージの生のソースを開きます。Gmailではそれは3点メニュー、次に「元のメッセージを表示」です。Outlookではメッセージを開き、インターネットヘッダーの「プロパティ」を確認します。3つの行をスキャンしてください：Return-Path、Authentication-Results、およびDKIM-Signatureの署名ドメイン。

本物のGoogleクォータ通知には、google.com管理下のドメインで終わるReturn-Pathとそれに紐付けられたspf=passがあります。本物のMicrosoftのものはmicrosoft.comまたはoutlook.comインフラストラクチャに対して認証されます。Return-Pathが「bounce@mail-secure-upgrade.info」を読んでいる一方、Fromがmicrosoftであると主張している場合、エンベロープとコスチュームが一致しません。その不一致が詐欺です。プレーンテキストで述べられています。

偽のクォータメールはどのようにしてスパムフィルターを通過するのか？

多くの場合、大ブランドのドメインをスプーフィングするのではなく、正当なドメインを乗っ取ります。攻撃者は小会社のマーケティングアカウントまたは、すでに有効なSPFおよびDKIMレコードを持つ不明確なSaaS送信者を侵害します。その後、メールが本当にそのサーバーから来たので、認証は正直に通過します。Authentication-Resultsはdmarc=passを表示し、フィルターはメッセージを通します。

それが罠です。緑色の認証チェックは、メッセージが本当にReturn-Pathのドメインから来たことを意味します—そのドメインがMicrosoftであることではなく。それで方法はこれです：Return-Pathドメインを読んで、そのドメインがあなたにMicrosoftストレージアラートを送る正当な理由を持っているかどうかを尋ねてください。配送会社のドメイン、ランダムな.shopアドレス、ブラジルの地方自治体の侵害されたサーバー—これらの中でOutlookクォータを実行しているものはありません。これはフィッシングにフラグを立てるAIインボックスが、あなたがそれを開く前に、あなたが見たくないヘッダーを読むことで表に出すように構築されている種類の不一致です。

1つが届いたとき、実際に何をすべきか？

メール内のボタンは決してクリックしないでください。サービスに直接移動します—outlook.comまたはdrive.google.comを自分で入力してください—そしてそこでストレージを確認してください。本当にドメインの上限に近い場合、両社はサプライズリンク経由ではなく、アカウント設定でそれを表示します。

本物の通知も異なる動作をします。GoogleとMicrosoftは、メール前の長時間前に製品内とそれら自身のアカウントダッシュボード内のストレージについて警告を出し、それらのメッセージはあなたをパニックにするカウントダウンを出しません。正当なクォータメールは、関連のないドメイン上のログインページにあなたを誘導しません。偽物はいつもそうします。ログインページが全て—それはあなたのパスワードを収集するからです。

最後の習慣1つ：ボタンにあなたがクリックしないように前でホバーします。宛先ホストがブランドの本物のドメインで終わらない場合、Return-Pathは全て真実を言っていました。