'계정 저장소 가득 참' 이메일은 피싱의 단골 — Return-Path를 확인하세요

저장소 용량 경고는 한 푼도 요청하지 않으면서 당신을 겁주는데, 이게 바로 그 이유입니다. 그 정체를 밝히는 건 로고나 문구가 아니라 Return-Path 헤더입니다. 진정한 Microsoft나 Google 용량 공지는 해당 회사의 서명된 서비스 도메인에서 옵니다. 가짜는 유사한 도메인이나 탈취된 제3자 서버를 타고 오는데, Return-Path가 매번 그것을 드러냅니다.

'저장소 가득 참' 이메일이 갑자기 어디서나 나타나는 이유는 뭔가요?

돈을 요청할 때의 위험 신호 없이 긴급함을 만들어내기 때문입니다. 가짜 인보이스는 돈을 내라고 하지만, 용량 경고는 "24시간 후 받은편지함이 메일을 받을 수 없게 됩니다 — 무료로 업그레이드하려면 클릭하세요"라고만 말합니다. 결제 없음, 명백한 요청 없음, 그래서 당신의 경계심이 풀립니다. 자격 증명 피싱이 여기의 엔진입니다. Microsoft의 위협 연구원들은 저장소 및 용량 관련 루어를 자격 증명 수집 캠페인의 견고한 템플릿으로 반복 지적했습니다. 정확히 피해자를 결제 페이지가 아닌 로그인 페이지로 보내기 때문입니다.

규모가 불편한 부분입니다. APWG의 Phishing Activity Trends Report에서는 2024년 1분기에 963,000건 이상의 피싱 공격을 집계했으며, 웹메일과 SaaS가 가장 많이 표적이 된 섹터입니다. "사서함이 가득 찼습니다"는 보내기 비용이 저렴하고, 지역화가 간단하며, 그것이 얘기하는 바로 그 장소에 도착합니다. 이 조합이 계속 많이 사용되는 이유입니다.

Return-Path가 뭐고 어디서 찾죠?

배달 실패를 어디로 되돌릴지 메일 시스템에 알려주는 숨겨진 봉투 주소이며, 스푸핑된 "From" 줄과는 거의 일치하지 않습니다. 친절한 "From: Microsoft Account Team"은 꾸밈에 불과합니다 — 누구나 그렇게 입력할 수 있습니다. Return-Path는 전송 서버에 의해 설정되며 SPF와 DMARC가 실제로 검사하는 대상입니다.

보려면 메시지의 원본 소스를 엽니다. Gmail에서는 점 세 개 메뉴, 그 다음 "원본 표시"입니다. Outlook에서는 메시지를 열고 인터넷 헤더에 대한 "속성"을 찾습니다. 세 줄을 스캔합니다: Return-Path, Authentication-Results, DKIM-Signature의 서명 도메인.

실제 Google 용량 공지는 google.com이 제어하는 도메인으로 끝나는 Return-Path를 가지며 그에 연결된 spf=pass가 있습니다. 실제 Microsoft 공지는 microsoft.com이나 outlook.com 인프라에 대해 인증됩니다. Return-Path가 bounce@mail-secure-upgrade.info를 읽으면서 From이 Microsoft라고 주장한다면, 봉투와 의상이 맞지 않습니다. 그 불일치가 바로 그 사기입니다. 평문으로 명시되어 있습니다.

가짜 용량 이메일은 어떻게 스팸 필터를 통과할까요?

대부분의 경우 큰 브랜드의 도메인을 스푸핑하지 않고 — 정당한 도메인을 탈취합니다. 공격자는 작은 회사의 마케팅 계정이나 이미 유효한 SPF와 DKIM 레코드를 가진 불명확한 SaaS 발신자를 손상시킵니다. 그러면 이메일이 정당하게 인증을 통과합니다. 정말로 그 서버에서 온 것이기 때문입니다. Authentication-Results는 dmarc=pass를 보여주고, 당신의 필터는 그것을 통과시킵니다.

그게 함정입니다. 녹색 인증 체크는 메시지가 정말로 Return-Path의 도메인에서 온 것이라는 뜻입니다 — 그 도메인이 Microsoft라는 뜻이 아닙니다. 그래서 방법은: Return-Path 도메인을 읽고, 그 도메인이 당신에게 Microsoft 저장소 경고를 보낼 정당한 사유가 있는지 물으세요. 택배 회사의 도메인, 무작위 .shop 주소, 브라질 지방자치단체의 탈취된 서버 — 이 중 그 어느 것도 Outlook 용량을 관리하지 않습니다. 이것이 피싱을 플래그하는 AI 받은편지함이 당신이 열기 전에, 당신이 읽으지 않기를 원하는 헤더를 읽어서 표면에 드러내도록 만들어진 종류의 불일치입니다.

하나가 도착했을 때 실제로 뭘 하죠?

이메일의 버튼을 절대 클릭하지 마세요. 서비스로 직접 가세요 — outlook.com이나 drive.google.com을 직접 입력하세요 — 그리고 거기서 당신의 저장소를 확인하세요. 용량이 실제로 거의 찼다면, 두 회사 모두 놀라운 링크가 아니라 계정 설정에서 그것을 표시합니다.

실제 공지도 다르게 작동합니다. Google과 Microsoft는 어떤 이메일이든 전에 제품 내에서, 그리고 자신의 계정 대시보드에서 저장소에 대해 경고하며, 그들의 메시지는 당신을 공포로 몰아넣는 카운트다운이 없습니다. 정당한 용량 이메일은 당신을 관련 없는 도메인의 로그인 페이지로 보내지 않을 것입니다. 가짜는 항상 그렇게 합니다. 그 로그인 페이지가 전부이기 때문입니다 — 당신의 비밀번호를 수집합니다.

마지막 습관 하나: 클릭하지 않기 전에 버튼에 마우스를 올려놓으세요. 목적지 호스트가 브랜드의 실제 도메인으로 끝나지 않는다면, Return-Path가 처음부터 진실을 말했던 거입니다.