อีเมลเตือน 'Account Storage Full' เป็นเหยื่อโปรดของ Phishing — ดูที่ Return-Path

การแจ้งเตือนเรื่องโควตาพื้นที่เก็บข้อมูลทำให้คุณตกใจโดยไม่ขอเงินแม้แต่สตางค์เดียว ซึ่งเป็นเหตุผลว่าทำไมมันจึงได้ผล การบ่งชี้ไม่ใช่โลโก้หรือคำพูด — มันคือหัดเรื่อง Return-Path ข้อความเตือนโควตาที่แท้จริงจาก Microsoft หรือ Google มาจากโดเมนสัญญาณที่ลงนามของบริษัทนั้นเอง ส่วนปลอมใช้โดเมนที่เหมือนกันหรือเซิร์ฟเวอร์ของบริษัทที่สามซึ่งถูกยัดแยง และ Return-Path ก็เปิดเผยมันทุกครั้ง

ทำไมอีเมล 'storage full' จึงปรากฏขึ้นทั่วไป

เพราะมันสร้างความเร่งด่วนโดยไม่ต้องแสดงความสีแดงของการขอเงิน ใบแจ้งหนี้ปลอมขอให้คุณจ่ายเงิน แต่การแจ้งเตือนโควตาเพียงแค่บอกว่า "กล่องจดหมายของคุณจะหยุดรับจดหมายภายในอีก 24 ชั่วโมง — คลิกเพื่อไปยศไม่ต้องเสีย" ไม่มีการชำระเงิน ไม่มีคำขอที่ชัดเจน ดังนั้นการเฝ้าระวังของคุณก็ลดลง การฉ้อโกงเพื่อขโมยข้อมูลประจำตัวเป็นเครื่องยนต์ที่นี่ นักวิจัยด้านภัยคุณขุมพล Microsoft ได้จัดธงการลวงหลวงที่มีธีมเรื่องพื้นที่เก็บข้อมูลและโควตาซ้ำแล้วซ้ำเล่าว่าเป็นเทมเพลตที่ทนทานในแคมเปญการเก็บข้อมูลประจำตัว เนื่องจากมันนำเหยื่อไปยังหน้าเข้าสู่ระบบแทนที่จะเป็นหน้าชำระเงิน

สเกลของมันเป็นส่วนที่ไม่สบายใจ APWG's Phishing Activity Trends Report นับการโจมตีฉ้อโกงกว่า 963,000 ครั้งในไตรมาส 2024 ครั้งเดียว โดยมี webmail และ SaaS อยู่ในบรรดาภาคส่วนที่ถูกโจมตีมากที่สุด "กล่องจดหมายของคุณเต็ม" ราคาถูกมากในการส่ง ง่ายต่อการปรับให้เหมาะสมตามท้องถิ่น และตกลงในสถานที่ที่มันกำลังพูดถึง การรวมกันนั้นทำให้มันอยู่ในการหมุนเวียนหนัก

Return-Path คืออะไรและฉันหาได้ที่ไหน

มันคือที่อยู่ซองที่ซ่อนไว้ที่บอกระบบเมลว่าจะส่ง bounce การส่งที่ล้มเหลวไปที่ไหน และมันไม่ค่อยตรงกับบรรทัด "From" ที่ถูกปลอมแปลง "From: Microsoft Account Team" ที่มีมิตรภาพเป็นเพียงเรื่องสวยงาม — ใครก็ได้พิมพ์ได้ Return-Path ถูกตั้งโดยเซิร์ฟเวอร์ส่งและเป็นสิ่งที่ SPF และ DMARC ตรวจสอบจริงๆ

หากต้องการดู ให้เปิดซอร์สข้อความแบบดิบ ใน Gmail นั่นคือเมนูสามจุด จากนั้น "Show original" ใน Outlook ให้เปิดข้อความและมองหา "Properties" สำหรับส่วนหัวอินเทอร์เน็ต สแกนหาสามบรรทัด: Return-Path, Authentication-Results และโดเมนลงนามใน DKIM-Signature

ข้อความเตือนโควตา Google ที่แท้จริงมี Return-Path ที่สิ้นสุดในโดเมนที่ควบคุมโดย google.com และ spf=pass ที่มีปะ ข้อความของ Microsoft ที่แท้จริงตรวจสอบกับโครงสร้างพื้นฐาน microsoft.com หรือ outlook.com หาก Return-Path อ่านว่า bounce@mail-secure-upgrade.info ในขณะที่ From ยืนยันว่าเป็น Microsoft ซอง และเครื่องแต่งกายไม่ตรงกัน นั่นคือการฉ้อโกง ระบุไว้ในข้อความธรรมชาติ

อีเมลโควตาปลอมผ่านตัวกรองสแปมได้อย่างไร

บ่อยครั้งมันไม่ปลอมแปลงโดเมนแบรนด์ใหญ่ — มันยัดแยงโดเมนที่ชอบธรรม ผู้โจมตีชำ บัญชีการตลาดของบริษัทเล็กหรือผู้ส่ง SaaS ที่คลุมเครือซึ่งมีบันทึก SPF และ DKIM ที่ถูกต้องแล้ว อีเมลจะผ่านการตรวจสอบสิทธิ์อย่างซื่อสัตย์ เพราะมันมาจากเซิร์ฟเวอร์นั้นจริงๆ Authentication-Results แสดง dmarc=pass และตัวกรองของคุณก็ส่งมันผ่าน

นั่นคือกับดัก การตรวจสอบสิทธิ์สีเขียวหมายความว่าข้อความมาจากโดเมนใน Return-Path จริงๆ — ไม่ใช่ว่าโดเมนเป็น Microsoft ดังนั้นวิธีการคือ อ่านโดเมน Return-Path แล้วถามว่าโดเมนนั้นมีธุรกิจใดที่ส่งเตือนพื้นที่เก็บข้อมูล Microsoft ให้คุณ โดเมนของสมาชิก ที่อยู่ .shop แบบสุ่ม เซิร์ฟเวอร์ของเทศบาลบราซิลที่ถูกยัดแยง — ไม่มีสักอย่างที่รันโควตา Outlook ของคุณ นี่คือความไม่ตรงกันที่ประเภท กล่องจดหมาย AI ที่จัดธง phishing สร้างขึ้นมาเพื่อแสดงผลก่อนที่คุณจะเปิดมันโดยการอ่านส่วนหัวที่คุณค่อนข้างไม่ต้องการ

ฉันควรทำอะไรเมื่ออีเมลลงมา

อย่าคลิกปุ่มในอีเมล ไปยังบริการโดยตรง — พิมพ์ outlook.com หรือ drive.google.com ด้วยตัวคุณเอง — และตรวจสอบพื้นที่เก็บข้อมูลของคุณที่นั่น หากคุณเข้าใกล้ขีดจำกัดจริงๆ บริษัททั้งสองแสดงให้เห็นในการตั้งค่าบัญชี ไม่ใช่ผ่านลิงก์ที่น่าบอกเล่า

ข้อความจริงก็ทำพฤติกรรมต่างกัน Google และ Microsoft เตือนคุณเรื่องพื้นที่เก็บข้อมูลภายในผลิตภัณฑ์และในแดชบอร์ดบัญชีของตนเองนานก่อนที่จะมีอีเมลใดๆ และข้อความของพวกเขาไม่ให้คุณนับถอยหลังลงในความตื่นตระหนก อีเมลโควตาที่ชอบธรรมจะไม่นำคุณไปยังหน้าเข้าสู่ระบบในโดเมนที่ไม่เกี่ยวข้อง ปลอมเสมอทำเช่นนั้น เพราะหน้าเข้าสู่ระบบเป็นจุดประสงค์ทั้งหมด — มันเก็บเก่าคำรหัสผ่านของคุณ

นิสัยสุดท้ายหนึ่ง: วางเมาส์ไว้บนปุ่มก่อนที่คุณจะไม่คลิก หากโฮสต์ปลายทางไม่ลงท้ายด้วยโดเมนจริงของแบรนด์ Return-Path ก็บอกคุณถูกต้องตั้งแต่เริ่มต้น