E-mailul „Spațiu de stocare plin" este favorit al phisherilor — uită-te la Return-Path

Un avertisment de depășire a cotei de stocare te sperie fără a-ți cere o groșime, ceea ce este exact motivul pentru care funcționează. Indiciul nu este sigla sau formularea — este anteta Return-Path. Un avertisment autentic de cotă Microsoft sau Google provine de la domeniul serviciului propriu, semnat, al acelei companii. Falsul se folosește de o adresă asemănătoare sau de un server terț sechestrabil, iar Return-Path o dezvăluie de fiecare dată.

De ce e-mailurile de „stocare plină" sunt deodată peste tot?

Pentru că generează urgență fără semnalul de alarmă al unei cereri de bani. Un fals document de plată te întreabă să plătești; un avertisment de cotă spune doar „cutia ta de primire nu mai va accepta mesaje în 24 de ore — clic pentru a face upgrade gratuit." Fără plată, fără cerere evidentă, deci ți se calmează vigilența. Phishing-ul de acreditări este motorul aici. Cercetătorii de amenințări ai Microsoft au marcat în mod repetat avertismentele cu tematică de stocare și cotă drept un șablon durabil în campaniile de recolectare a acreditărilor, tocmai pentru că direcționează victima la o pagină de autentificare și nu la una de checkout.

Scara este partea nesigură. Raportul Phishing Activity Trends al APWG a numărat peste 963.000 de atacuri de phishing într-un singur trimestru din 2024, cu webmail și SaaS între sectoarele cel mai țintite. „Cutia ta de primire este plină" este ieftinră de trimis, banal de localizat, și aterizează exact acolo unde vorbește. Acea combinație o ține în rotație intensă.

Ce este Return-Path și unde îl găsesc?

Este adresa pliului ascunsă care spune sistemului de mail unde să rebondeze o livrare eșuată, și rareori se potrivește cu o linie „From" falsă. Amicala „From: Microsoft Account Team" este cosmetică — oricine poate tasta asta. Return-Path este stabilit de serverul care trimite și este ceea ce SPF și DMARC verific de fapt.

Pentru a o vedea, deschide sursa brută a mesajului. În Gmail, acesta este meniul cu trei puncte, apoi „Show original". În Outlook, deschide mesajul și caută „Properties" pentru antetele de internet. Caută trei linii: Return-Path, Authentication-Results și domeniul de semnare din DKIM-Signature.

Un avertisment autentic de cotă Google are Return-Path terminat cu un domeniu controlat de google.com și un spf=pass legat de acesta. Unul autentic Microsoft se autentifică pe baza infrastructurii microsoft.com sau outlook.com. Dacă Return-Path citește bounce@mail-secure-upgrade.info în timp ce From pretinde că vine de la Microsoft, pliul și costumul nu se potrivesc. Acea nepotrivire este înșelăciunea, exprimată în text clar.

Cum trece un fals e-mail de cotă prin filtrul de spam dacă trece?

Adesea nu falsifică domeniul mărcii mari — sechestrează unul legitim. Atacatorii compromit contul de marketing al unei mici companii sau un expeditor SaaS obscur care are deja înregistrări SPF și DKIM valide. E-mailul se autentifică onest, pentru că a venit cu adevărat de pe acel server. Authentication-Results arată dmarc=pass, iar filtrul tău îl lasă să treacă.

Aceasta este capcana. O verificare verde de autentificare înseamnă că mesajul a venit cu adevărat de la domeniul din Return-Path — nu că domeniul este Microsoft. Deci metoda este: citește domeniul Return-Path, apoi întreabă-te dacă acel domeniu are vreun motiv să-ți trimită o alertă de stocare Microsoft. Domeniul unui curier, o adresă aleatoare .shop, serverul compromis al unei municipalități braziliene — niciunul dintre ele nu-ți gestionează cota Outlook. Aceasta este felul de nepotrivire pe care un AI inbox care marchează phishing-ul este construit pentru a o suprafață înainte ca tu să o deschizi vreodată, citind antetele pe care mai degrabă nu le-ai vrea.

Ce ar trebui să fac de fapt când una aterizează?

Nu apăsa niciodată butonul din e-mail. Du-te la serviciu direct — tastează outlook.com sau drive.google.com singur — și verifică-ți stocarea acolo. Dacă ești cu adevărat aproape de o limită, ambele companii o arată în setările contului, nu printr-o legătură surpriză.

Avertismentele reale se comportă și diferit. Google și Microsoft te avertizează despre stocare în interiorul produsului și în propriile lor dashboard-uri de cont cu mult înainte de orice e-mail, iar mesajele lor nu te forțează cu o numărătoare inversă în panică. Un e-mail de cotă legitim nu te va direcționa la o pagină de autentificare pe un domeniu neînrudit; falsul o face întotdeauna, pentru că pagina de autentificare este întregul punct — culege parola ta.

Un ultim obicei: plutește peste buton înainte ca tu să nu îl apeși. Dacă gazda destinației nu se termină în domeniul real al mărcii, Return-Path ți-a spus adevărul tot timpul.