De 'Account Storage Full'-e-mail is een favoriete phishing-truc — kijk naar het Return-Path

Een waarschuwing voor opslagruimtequotum beangstig je zonder geld te vragen, en dat is precies waarom het werkt. Het bewijs zit niet in het logo of de formulering — het zit in de Return-Path header. Een echte quotawaarschuwing van Microsoft of Google komt van het eigen ondertekende servicedomein van dat bedrijf. De nep gebruikt een look-alike of een gekaapt third-party server, en het Return-Path verraadt het elke keer.

Waarom zijn 'opslag vol'-e-mails plotseling overal?

Omdat ze urgentie veroorzaken zonder de rode vlag van een betalingsverzoek. Een nep factuur vraagt je om te betalen; een quotawaarschuwing zegt alleen maar "je inbox stopt over 24 uur met het ontvangen van mail — klik om gratis bij te werken." Geen betaling, geen duidelijk verzoek, dus je bewakers worden minder alert. Credential phishing is de motor hier. Threat researchers van Microsoft hebben herhaaldelijk waarschuwingen over opslag- en quotathema's gemarkeerd als een duurbare sjabloon in credential-harvesting-campagnes, precies omdat ze het slachtoffer naar een loginpagina routeren in plaats van naar een afrekenscherm.

De schaal is het oncomfortabele gedeelte. Het Phishing Activity Trends Report van de APWG telde meer dan 963.000 phishing-aanvallen in een enkel kwartaal van 2024, met webmail en SaaS onder de meest gerichte sectoren. "Je mailbox is vol" is goedkoop om te verzenden, triviaal gelokaliseerd, en belandt op precies de plaats waar het over gaat. Die combinatie zorgt ervoor dat het intensief wordt gebruikt.

Wat is het Return-Path en waar vind ik het?

Het is het verborgen envelopeadres dat het mailsysteem vertelt waar een mislukte bezorging heen moet, en het komt zelden overeen met een vervalste "From"-regel. De vriendelijke "From: Microsoft Account Team" is cosmetisch — iedereen kan dat typen. Het Return-Path wordt ingesteld door de verzendende server en is waar SPF en DMARC eigenlijk tegen controleren.

Om het te zien, open je de onbewerkte bron van het bericht. In Gmail is dat het menu met drie punten, dan "Origineel weergeven." In Outlook open je het bericht en zoek je naar "Eigenschappen" voor internet headers. Scan naar drie regels: Return-Path, Authentication-Results, en het ondertekeningsdomein in DKIM-Signature.

Een echte Google quotanotificatie heeft een Return-Path die eindigt op een door google.com beheerd domein en een eraan gekoppelde spf=pass. Een echte Microsoft-melding verifieert tegen microsoft.com of outlook.com-infrastructuur. Als het Return-Path bounce@mail-secure-upgrade.info leest terwijl de From beweert van Microsoft te zijn, passen de envelop en het kostuum niet bij elkaar. Die onmatch is de scam, uitgesproken in platte tekst.

Hoe slaagt een nep quotae-mail erin de spamfilter helemaal te passeren?

Vaak vervalst het niet het domein van het grote merk — het kapt een legitiem domein. Aanvallers compromitteren een marketingaccount van een klein bedrijf of een obscure SaaS-afzender die al geldige SPF- en DKIM-records heeft. Het e-mailbericht slaagt dan eerlijk in authenticatie, omdat het werkelijk van die server afkomstig is. Authentication-Results toont dmarc=pass, en je filter laat het door.

Dat is de valstrik. Een groene authenticatiecheck betekent dat het bericht werkelijk van het domein in het Return-Path afkomstig is — niet dat het domein Microsoft is. De methode is dus: lees het Return-Path domein, en vraag jezelf af of dat domein een zakelijk belang heeft om je een Microsoft-opslagwaarschuwing te sturen. Een koerier's domein, een willekeurig .shop-adres, een gecompromitteerde server van een Braziliaanse gemeente — geen van hen beheert je Outlook-quota. Dit is het soort onmatch dat een AI-inbox die phishing markeert is ontworpen om te oppervlakte voordat je het ooit opent, door headers te lezen die je liever niet ziet.

Wat moet ik eigenlijk doen als zo'n e-mail aankomt?

Klik nooit op de knop in het e-mailbericht. Ga rechtstreeks naar de service — typ zelf outlook.com of drive.google.com — en controleer je opslag daar. Als je werkelijk dicht bij een limiet bent, tonen beide bedrijven het in de accountinstellingen, niet via een verrassing link.

De echte meldingen gedragen zich ook anders. Google en Microsoft waarschuwen je over opslag in het product en in hun eigen accountdashboards lang voordat e-mail, en hun berichten zetten je niet aftellen in paniek. Een legitieme quotae-mail leidt je niet naar een loginpagina op een niet-gerelateerd domein; de nep doet dat altijd, omdat de loginpagina het gehele doel is — het oogst je wachtwoord.

Nog een gewoonte: beweeg de muis over de knop voordat je erop niet klikt. Als de doelhost niet eindigt op het echte domein van het merk, vertelde het Return-Path je de waarheid al die tijd.