'Hesap Depolaması Dolu' E-postası Kimlik avının Sevdiği Bir Tuzak — Return-Path Başlığına Bakın

Bir depolama-kota uyarısı sizi bir kuruş harcamadan korkutur, ve tam bu nedenle işe yarar. Sözcü sadece logoda veya ifadelerde değil — Return-Path başlığında gizlidir. Gerçek bir Microsoft veya Google kota bildirimi o şirketin kendi imzalı hizmet alanından gelir. Sahte olanı sahte bir alan adı veya ele geçirilen üçüncü taraf bir sunucu taşır, ve Return-Path bunu her seferinde ortaya çıkarır.

Neden 'depolama dolu' e-postaları birden her yerde?

Çünkü bunlar para isteme işaretini tetiklemeden aciliyet yaratırlar. Sahte bir fatura sizi ödemeye çağırır; bir kota uyarısı sadece "posta kutunuz 24 saat içinde e-posta almayı durdurur — ücretsiz yükseltme için tıklayın" der. Ödeme yok, açık bir talep yok, bu nedenle savunmanız düşer. Kimlik avı kimlik bilgisi hasadı buradaki motor. Microsoft'un tehdit araştırmacıları depolama ve kota temalı cazibeler 'bunu tekrar tekrar işaretlediler, tam da bu nedenle kurbanı ödeme sayfası yerine bir giriş sayfasına yönlendirdikleri için.

Ölçek rahatsız edici kısım. APWG'nin Phishing Etkinlik Eğilimleri Raporu 2024'ün tek bir çeyreğinde 963,000'den fazla kimlik avı saldırısı saydı, webmail ve SaaS en hedeflenen sektörler arasında. "Posta kutunuz dolu" göndermesi ucuz, önemsizce yerelleştirilmiş ve tam olarak hakkında konuştuğu yere iner. Bu kombinasyon onu yoğun dolaşımda tutar.

Return-Path nedir ve onu nerede bulurum?

Başarısız bir teslimatı nereye geri göndereceğini posta sistemine söyleyen gizli zarf adresidir ve nadir olarak sahte bir "From" satırıyla eşleşir. Dost canlısı "From: Microsoft Account Team" kozmetiktir — herkes bunu yazabilir. Return-Path gönderen sunucu tarafından ayarlanır ve SPF ve DMARC aslında bunun karşısında kontrol eder.

Görmek için mesajın ham kaynağını açın. Gmail'de, bu üç noktanın menüsü, sonra "Orijinalini göster"dir. Outlook'ta mesajı açın ve internet başlıkları için "Özellikler"e bakın. Üç satırı tarayın: Return-Path, Authentication-Results ve DKIM-Signature'daki imzalayan alan adı.

Gerçek bir Google kota bildirimi google.com-kontrollü bir alan adında biten bir Return-Path'a ve ona bağlı bir spf=pass'a sahiptir. Gerçek bir Microsoft olanı microsoft.com veya outlook.com altyapısına karşı kimlik doğrular. Return-Path bounce@mail-secure-upgrade.info okuması yaparken From Microsoft olarak iddia ederse, zarf ve kostüm eşleşmez. Bu uyumsuzluk, düz metin olarak belirtilen dolandırıcılıktır.

Sahte bir kota e-postası spam filtresini nasıl geçer?

Çoğu zaman büyük markanın alanını taklit etmez — meşru birini ele geçirir. Saldırganlar küçük bir şirketin pazarlama hesabını veya zaten geçerli SPF ve DKIM kayıtlarına sahip belirsiz bir SaaS göndericisini ele geçirir. E-posta daha sonra kimlik doğrulamayı dürüstçe geçer, çünkü gerçekten o sunucudan gelmiştir. Authentication-Results dmarc=pass gösterir ve filtre bunu geçer.

Bu tuzaktır. Yeşil bir kimlik doğrulama işareti mesajın gerçekten Return-Path'daki alandan geldiği anlamına gelir — alanın Microsoft olduğu anlamına gelmez. Bu nedenle yöntem: Return-Path alanını okuyun, sonra o alan adının size Microsoft depolama uyarısı gönderme işinde hiç bulunup bulunmadığını sorun. Bir kurye alanı, rasgele bir .shop adresi, Brezilya'nın bir belediyesinin ele geçirilmiş sunucusu — hiçbiri Outlook kotanızı çalıştırmaz. Bu, kimlik avını işaretleyen bir yapay zeka gelen kutusunun bunu açmadan önce yüzeye çıkarmak için tasarlandığı tür bir uyumsuzluktur, tercihen okumak istemeyeceğiniz başlıkları okuyarak.

Bir tane geldiğinde aslında ne yapmalıyım?

E-postadaki düğmeyi asla tıklamayın. Hizmete doğrudan gidin — outlook.com veya drive.google.com yazın — ve depolamayı orada kontrol edin. Gerçekten bir limite yakınsanız, her iki şirket de hesap ayarlarında gösterir, bir sürpriz bağlantı yoluyla değil.

Gerçek bildirimleri de farklı davranış. Google ve Microsoft, herhangi bir e-postadan çok önce ürün içinde ve kendi hesap panolarında depolama hakkında sizi uyarır ve mesajları sizi paniğe sürüklemez. Gerçek bir kota e-postası sizi ilgisiz bir alandan bir giriş sayfasına yönlendirmeyecektir; sahte olan her zaman yapar, çünkü giriş sayfası tüm amaç — parolanızı toplar.

Bir son alışkanlık: düğmenin üzerine gelin ve tıklamayın. Hedef ana bilgisayar markanın gerçek alanında bitmiyorsa, Return-Path başından beri sana doğruyu söylüyordu.