"Kontot lagringsutrymme fullt"-mejlet är en favoritfälla för nätfiskare — kolla Return-Path

En lagringskvotvarning skrämmer dig utan att fråga efter ett öre, och det är precis därför det fungerar. Tecknet är inte logotypen eller formuleringen — det är Return-Path-rubriken. En äkta Microsoft- eller Google-kvotnotis kommer från det företagets egen signerade tjänstedomän. Förfalskningen åker på en likartad adress eller en kaprad tredjepartsserver, och Return-Path avslöjar det varje gång.

Varför finns det plötsligt så många "lagringsutrymme fullt"-mejl?

Därför att de skapar brådska utan röd flagg från en betalningsbegäran. En falsk faktura ber dig betala; en kvotvarning säger bara "din postlåda slutar ta emot mejl om 24 timmar — klicka för att uppgradera utan kostnad." Ingen betalning, ingen uppenbar begäran, så ditt försvar släpper. Nätfiskning efter autentiseringsuppgifter är motorn här. Microsofts hotforskare har upprepat gånger flaggat lager- och kvotteman som en hållbar mall i nätfiskekampanjer för att harvesta autentiseringsuppgifter, precis för att de leder offret till en inloggningssida i stället för en kassasida.

Omfattningen är den obehagliga delen. APWG:s Phishing Activity Trends Report räknade över 963 000 nätfiskeangrepp under en enda kvartal 2024, med webmail och SaaS bland de mest måltavla sektorerna. "Din postlåda är full" är billig att skicka, trivialt lokaliserad, och hamnar exakt på den plats den talar om. Den kombinationen håller den i tung rotation.

Vad är Return-Path och var hittar jag den?

Det är den dolda kuvertadressen som säger till postsystemet var en misslyckad leverans ska studsa, och den matchar sällan en förfalskad "From"-rad. Det vänliga "From: Microsoft Account Team" är kosmetik — vem som helst kan skriva det. Return-Path ställs in av den skickande servern och är vad SPF och DMARC faktiskt kontrollerar mot.

För att se den öppnar du meddelandets råkälla. I Gmail går det genom trippelpunktmenyn, sedan "Show original." I Outlook öppnar du meddelandet och tittar på "Properties" för internetrubriker. Sök efter tre rader: Return-Path, Authentication-Results och signeringsdomänen i DKIM-Signature.

En äkta Google-kvotnotis har en Return-Path som slutar på en google.com-kontrollerad domän och ett spf=pass kopplat till den. En äkta Microsoft-notis autentiserar mot microsoft.com eller outlook.com-infrastruktur. Om Return-Path lyder bounce@mail-secure-upgrade.info medan From hävdar att vara Microsoft, matchar inte kuvertet och kostymen. Den olikheten är bluffen, angiven i klartext.

Hur kan ett falskt kvotmejl ens passera skräppostfiltret?

Ofta förfalskar det inte storföretagets domän — det kaprar en legitim. Angripare komprometterar ett litet företags marknadsföringskonto eller en obskyr SaaS-avsändare som redan har giltiga SPF- och DKIM-poster. Mejlet passerar sedan autentisering ärlikt, för det kom verkligen från den servern. Authentication-Results visar dmarc=pass, och ditt filter släpper det igenom.

Det är fällan. En grön autentiseringskontroll betyder att meddelandet verkligen kom från domänen i Return-Path — inte att domänen är Microsoft. Så metoden är: läs Return-Path-domänen, och fråga sedan om den domänen har någon anledning att skicka dig en Microsoft-lagringsvarning. En kurirdomän, en slumpmässig .shop-adress, en brasiliansk kommuns kaprad server — ingen av dem driver din Outlook-kvot. Det här är den typ av olikhet som en AI-postlåda som flaggar nätfiskning är byggd för att visa innan du någonsin öppnar den, genom att läsa rubriker du föredrar att inte se.

Vad ska jag faktiskt göra när ett hamnar i min postlåda?

Klicka aldrig på knappen i mejlet. Gå till tjänsten direkt — skriv outlook.com eller drive.google.com själv — och kontrollera ditt lagringsutrymme där. Om du verkligen är nära en gräns visar båda företagen det i kontoinställningarna, inte via en överraskningslänk.

De äkta notiserna fungerar också olika. Google och Microsoft varnar dig om lagringsutrymme inuti produkten och i sina egna instrumentpaneler långt innan något mejl, och deras meddelanden räknar inte ned dig i panik. Ett äkta kvotmejl dirigerar dig inte till en inloggningssida på en orelaterad domän; den falska gör det alltid, för inloggningssidan är hela poängen — den skördar ditt lösenord.

En sista vana: för muspekaren över knappen innan du inte klickar på den. Om destinationsvärden inte slutar på varumärkets verkliga domän, sa Return-Path sanningen hela tiden.