O Email "Armazenamento da Conta Cheio" é Favorito de Phishing — Procure na Linha Return-Path

Um aviso de cota de armazenamento o assusta sem pedir um centavo, e é exatamente por isso que funciona. O detalhe não está no logo ou na redação — está na linha de cabeçalho Return-Path. Um aviso legítimo de cota do Microsoft ou Google vem do domínio de serviço assinado pela própria empresa. O falso monta um lookalike ou usa um servidor de terceiros sequestrado, e o Return-Path o expõe toda vez.

Por que emails de "armazenamento cheio" estão por toda parte de repente?

Porque fabricam urgência sem a bandeira vermelha de um pedido de pagamento. Um faturamento falso pede para você pagar; um aviso de cota apenas diz "sua caixa de entrada para de receber mensagens em 24 horas — clique para atualizar gratuitamente." Sem pagamento, sem pedido óbvio, então sua guarda cai. O phishing de credenciais é o motor aqui. Os pesquisadores de ameaças da Microsoft repetidamente sinalizaram iscas temáticas de armazenamento e cota como um padrão durável em campanhas de coleta de credenciais, precisamente porque encaminham a vítima para uma página de login em vez de um checkout.

A escala é a parte desconfortável. O Phishing Activity Trends Report da APWG contou mais de 963.000 ataques de phishing em um único trimestre de 2024, com webmail e SaaS entre os setores mais visados. "Sua caixa de entrada está cheia" é barato de enviar, trivialmente localizado, e cai exatamente no lugar sobre o qual está falando. Essa combinação o mantém em rotação pesada.

O que é o Return-Path e onde eu encontro?

É o endereço de envelope oculto que diz ao sistema de correio para onde bounçar uma entrega falhada, e raramente coincide com uma linha "From" falsificada. O "From: Microsoft Account Team" amigável é cosmético — qualquer um pode digitar isso. O Return-Path é definido pelo servidor de envio e é contra o que SPF e DMARC realmente verificam.

Para vê-lo, abra a fonte bruta da mensagem. No Gmail, é o menu de três pontos, depois "Show original". No Outlook, abra a mensagem e procure "Properties" para internet headers. Procure por três linhas: Return-Path, Authentication-Results e o domínio assinado em DKIM-Signature.

Um aviso legítimo de cota do Google tem um Return-Path terminando em um domínio controlado pelo google.com e um spf=pass vinculado a ele. Um legítimo do Microsoft autentica contra infraestrutura microsoft.com ou outlook.com. Se o Return-Path lê bounce@mail-secure-upgrade.info enquanto o From alega ser Microsoft, o envelope e a fantasia não combinam. Essa incompatibilidade é o golpe, declarado em texto simples.

Como um email falso de cota passa pelo filtro de spam?

Frequentemente ele não falsifica o domínio da grande marca — ele sequestra um domínio legítimo. Atacantes comprometem a conta de marketing de uma pequena empresa ou um remetente SaaS obscuro que já possui registros válidos de SPF e DKIM. O email então passa na autenticação honestamente, porque veio genuinamente daquele servidor. Authentication-Results mostra dmarc=pass, e seu filtro o deixa passar.

Essa é a armadilha. Uma verificação de autenticação verde significa que a mensagem realmente veio do domínio no Return-Path — não que o domínio é Microsoft. Então o método é: leia o domínio do Return-Path, depois pergunte-se se aquele domínio tem algum motivo para lhe enviar um alerta de armazenamento Microsoft. Um domínio de courier, um endereço .shop aleatório, um servidor comprometido de um município brasileiro — nenhum deles gerencia sua cota de Outlook. Esse é o tipo de incompatibilidade que uma caixa de entrada com IA que sinaliza phishing é construída para expor antes de você nunca abri-la, lendo cabeçalhos que você preferiria não ver.

O que eu realmente devo fazer quando um cai?

Nunca clique no botão do email. Vá para o serviço diretamente — digite outlook.com ou drive.google.com você mesmo — e verifique seu armazenamento lá. Se você estiver genuinamente perto de um limite, ambas as empresas mostram isso nas configurações da conta, não via um link surpresa.

Os avisos reais também se comportam diferentemente. Google e Microsoft o advertem sobre armazenamento dentro do produto e em seus próprios painéis de conta muito antes de qualquer email, e suas mensagens não o fazem contar regressivamente para o pânico. Um email legítimo de cota não o encaminhará para uma página de login em um domínio não relacionado; o falso sempre faz, porque a página de login é o ponto inteiro — ela colhe sua senha.

Um último hábito: passe o mouse sobre o botão antes de você não clicar nele. Se o host de destino não termina no domínio real da marca, o Return-Path estava contando a verdade o tempo todo.