Email „Konto pełne" to ulubiony cel phishingowców — sprawdź Return-Path

Ostrzeżenie o limicie magazynu budzi strach bez proszenia o pieniądze, a to dokładnie dlatego działalogo. Rozpoznanie nie jest w logo czy sformułowaniu — jest w nagłówku Return-Path. Autentyczne ostrzeżenie o limicie od Microsoft albo Google pochodzi z podpisanego serwera domeny samej firmy. Podróbka używa domeny podobnej do oryginału lub przejętego serwera trzeciej strony, a Return-Path zdradzają ją za każdym razem.

Dlaczego maile „magazyn pełny" nagle wszędy?

Dlatego że wytwarzają pilność bez czerwonej flagi związanej z prośbą o pieniądze. Fałszywa faktura prosi o zapłatę; ostrzeżenie o limicie mówi tylko „twoja skrzynka przestanie odbierać wiadomości za 24 godziny — kliknij, aby uaktualnić bezpłatnie." Brak płatności, brak oczywistej prośby, więc twoja czujność opada. Phishing poświadczeń to silnik tego ataku. Badacze bezpieczeństwa Microsoft wielokrotnie flagowali przynęty związane z magazynem i limitami jako trwały szablon w kampaniach zbierających poświadczenia, dokładnie dlatego że kierują ofiarę do strony logowania zamiast do kasy.

Skala to niekomfortowa część. Raport APWG Phishing Activity Trends Report w jednym kwartale 2024 roku zanotował ponad 963 000 ataków phishingowych, przy czym webmail i SaaS były wśród sektorów najczęściej atakowanych. „Twoja skrzynka jest pełna" jest tania do wysłania, trywialnie zlokalizowana i trafia dokładnie w miejsce, które omawia. Ta kombinacja utrzymuje ją w ciężkim obrocie.

Czym jest Return-Path i gdzie go znaleźć?

To ukryty adres koperty, który mówi systemowi poczty gdzie odesłać nieudaną dostawę, i rzadko pasuje do sfałszowanego wiersza „From". Przyjazne „From: Microsoft Account Team" to kosmetyka — każdy może to wpisać. Return-Path jest ustawiany przez serwer wysyłający i to jest to, co SPF i DMARC faktycznie sprawdzają.

Aby to zobaczyć, otwórz surowe źródło wiadomości. W Gmailu to menu trzech kropek, potem „Pokaż oryginał". W Outlooku otwórz wiadomość i poszukaj „Właściwości" dla nagłówków internetowych. Przeszukaj trzy wiersze: Return-Path, Authentication-Results i domenę podpisywania w DKIM-Signature.

Autentyczne ostrzeżenie o limicie Google ma Return-Path kończący się na domenie kontrolowanej przez google.com i spf=pass powiązany z nim. Autentyczne od Microsoft uwierzytelnia się względem infrastruktury microsoft.com lub outlook.com. Jeśli Return-Path brzmi bounce@mail-secure-upgrade.info, podczas gdy From twierdzi że jest od Microsoft, koperta i kostium się nie zgadzają. Ta niedgodność to oszustwo, wyrażone zwykłym tekstem.

Jak fałszywy mail o limicie przechodzi przez filtr spamu?

Często nie sfałszowuje domeny dużej marki — przejmuje legitymacyjną. Atakujący kompromitują konto marketingowe małej firmy lub niejasnego dostawcy SaaS, który już ma ważne rekordy SPF i DKIM. Wiadomość wtedy przechodzi uwierzytelnianie uczciwie, bo naprawdę pochodzi z tamtego serwera. Authentication-Results pokazuje dmarc=pass, a twój filtr ją przepuszcza.

To pułapka. Zielony znak uwierzytelniania oznacza że wiadomość naprawdę pochodzi z domeny w Return-Path — nie że domena to Microsoft. Metoda jest: przeczytaj domenę Return-Path, potem zapytaj czy ta domena ma cokolwiek wspólnego z wysyłaniem ci ostrzeżenia o limicie Microsoft. Domena kuriera, losowy adres .shop, przejęty serwer brazylijskiej gminy — żaden z nich nie zarządza twoim limitem Outlook. To rodzaj niedgodności, którą sztuczna inteligencja skrzynki pochwyci phishing jest zbudowana by wyprowadzić przed tym zanim go otworzysz, czytając nagłówki których wolałbyś nie czytać.

Co faktycznie powinienem zrobić gdy jeden ląduje?

Nigdy nie klikaj przycisku w mailu. Idź do usługi bezpośrednio — wpisz outlook.com albo drive.google.com sam — i sprawdź tam swój magazyn. Jeśli naprawdę zbliżasz się do limitu, obie firmy pokazują to w ustawieniach konta, nie przez zaskakujący link.

Autentyczne ostrzeżenia też się inaczej zachowują. Google i Microsoft ostrzegają cię o magazynie wewnątrz produktu i na swoich własnych panelach kont na długo przed każdym mailem, i ich wiadomości cię nie popychają odliczaniem w panikę. Autentyczny mail o limicie nie będzie cię kierować do strony logowania na niepowiązanej domenie; podróbka zawsze to robi, bo strona logowania to cały punkt — zbiera twoim hasłem.

Jeszcze jeden nawyk: najedź kursorem na przycisk zanim go nie klikaj. Jeśli host docelowy nie kończy się rzeczywistą domeną marki, Return-Path mówił ci prawdę przez cały czas.