«Хранилище переполнено»: любимая приманка фишеров — смотрите на Return-Path

Предупреждение о переполнении хранилища вызывает страх, не требуя при этом ни цента — и именно поэтому оно работает. Подсказка — не логотип и не текст, а заголовок Return-Path. Настоящее уведомление Microsoft или Google о квоте поступает с собственного подписанного сервера компании. Поддельное использует похожий адрес или взломанный сервер третьей стороны, и Return-Path выдаёт его каждый раз.

Почему письма про переполнение хранилища вдруг везде?

Потому что они создают срочность без красного флага платежного запроса. Поддельный счёт просит вас заплатить; предупреждение о квоте просто говорит «ваш почтовый ящик перестанет получать письма через 24 часа — нажмите, чтобы улучшить бесплатно». Никакого платежа, никакого явного запроса — и ваша бдительность снижается. Фишинг учётных данных — вот двигатель этого. Исследователи угроз Microsoft неоднократно отмечали письма на тему хранилища и квот как долговечный шаблон в кампаниях по краже учётных данных, именно потому, что они направляют жертву на страницу входа, а не на кассу.

Масштаб тревожит. В квартальном отчёте APWG Phishing Activity Trends Report за 2024 год зафиксировано более 963 000 фишинг-атак в одном квартале, причём веб-почта и SaaS находятся среди наиболее часто целей. «Ваш почтовый ящик полон» дёшево отправить, тривиально локализовать и он приземляется прямо туда, о чём говорит. Эта комбинация держит его в активной ротации.

Что такое Return-Path и где его найти?

Это скрытый адрес конверта, который сообщает почтовой системе, куда отправлять недоставленные письма, и он редко совпадает с поддельной строкой «От». Дружелюбный «От: Microsoft Account Team» — это косметика; любой может это написать. Return-Path устанавливает отправляющий сервер, и именно его проверяют SPF и DMARC.

Чтобы увидеть его, откройте исходный код письма. В Gmail это меню из трёх точек, затем «Показать оригинал». В Outlook откройте письмо и посмотрите в «Свойства» на заголовки интернета. Поищите три строки: Return-Path, Authentication-Results и домен подписи в DKIM-Signature.

Настоящее уведомление Google о квоте имеет Return-Path, заканчивающийся доменом, контролируемым google.com, и привязанный к нему spf=pass. Настоящее от Microsoft проходит проверку подлинности по инфраструктуре microsoft.com или outlook.com. Если Return-Path читается как bounce@mail-secure-upgrade.info, а From утверждает, что это Microsoft, то конверт и костюм не совпадают. Это несовпадение — суть мошенничества, написанная открытым текстом.

Как поддельное письмо про квоту проходит спам-фильтр?

Часто оно не выдаёт себя за домен большого бренда — оно захватывает легитимный. Злоумышленники компрометируют маркетинговый аккаунт небольшой компании или неясного SaaS-отправителя, который уже имеет валидные записи SPF и DKIM. Письмо затем проходит проверку подлинности честно, потому что оно действительно пришло с того сервера. Authentication-Results показывает dmarc=pass, и ваш фильтр пропускает его дальше.

Вот в чём ловушка. Зелёная отметка проверки подлинности означает, что сообщение действительно пришло с домена в Return-Path — но не то, что этот домен это Microsoft. Поэтому метод такой: прочитайте домен Return-Path, затем спросите себя, есть ли у этого домена какое-либо дело отправлять вам предупреждение о хранилище Microsoft. Домен курьера, случайный адрес .shop, взломанный сервер бразильского муниципалитета — ни один из них не управляет вашей квотой Outlook. Это именно тот вид несовпадения, который AI-приёмник, который отмечает фишинг, создан, чтобы выявить до того, как вы его откроете, прочитав заголовки, которые вы предпочли бы не видеть.

Что мне действительно делать, когда оно прилетит?

Никогда не нажимайте кнопку в письме. Перейдите на сервис напрямую — сами введите outlook.com или drive.google.com — и проверьте там своё хранилище. Если вы действительно близки к лимиту, обе компании показывают это в параметрах учётной записи, а не через неожиданную ссылку.

Настоящие уведомления также ведут себя иначе. Google и Microsoft предупреждают вас о хранилище внутри продукта и на своих собственных панелях управления учётной записью задолго до любого письма, и их сообщения не загоняют вас в панику обратным отсчётом. Легитимное письмо о квоте не направит вас на страницу входа на несвязанный домен; поддельное всегда это делает, потому что страница входа — это вся суть игры — она крадёт ваш пароль.

Ещё одна привычка: наведитесь на кнопку перед тем, как вы на неё не нажмёте. Если хост назначения не заканчивается на реальный домен бренда, Return-Path говорил вам правду всё это время.