Фішинговий лист про переповнену пошту: розгадка в Return-Path

Попередження про квоту сховища лякає вас, не прохаючи жодного грошу — і це саме тому, чому це спрацьовує. Розгадка — не в логотипі чи формулюванні, а в заголовку Return-Path. Справжнє повідомлення Microsoft або Google про квоту приходить з авторизованого доменного сервера самої компанії. Підробка використовує схожий домен або зексплуатований стороннього сервера, і Return-Path викриває це кожний раз.

Чому листи про переповнену пошту раптово везде?

Тому що вони створюють терміновість без запиту грошей — червоного прапору. Фальшива накладна просить вас заплатити; попередження про квоту просто каже «ваша скринька перестане отримувати листи через 24 години — натисніть, щоб безплатно оновити». Жодного платежу, жодного очевидного запиту — тож ваш захист падає. Фішинг облікових даних — це рушій схеми. Дослідники Microsoft многократно відзначали лури, пов'язані зі сховищем і квотою, як стійкий шаблон у кампаніях крадіжки облікових даних, саме тому що вони маршрутизують жертву на сторінку входу замість касси.

Масштаб — це незручна частина. Звіт APWG про тренди фішингової активності налічив понад 963 000 фішингових атак за один квартал 2024 року, коли вебпошта та SaaS були серед найбільш цільованих секторів. «Ваша скринька переповнена» дешево розсилати, легко локалізувати, і потрапляє саме туди, про яке йде мова. Це поєднання утримує такі листи в постійній ротації.

Що таке Return-Path і де його знайти?

Це прихована адреса на конверті, яка говорить поштовій системі, куди відправити невдалу доставку, і вона рідко збігається зі спуфованим рядком «From». Дружелюбне «From: Microsoft Account Team» — це косметика — будь-хто може це написати. Return-Path встановлює сервер відправника, і саме проти нього SPF та DMARC насправді перевіряють.

Щоб його побачити, відкрийте вихідний код листа. У Gmail це меню з трьома крапками, потім «Показати оригінал». У Outlook відкрийте лист і шукайте «Властивості» для інтернет-заголовків. Шукайте три рядки: Return-Path, Authentication-Results і домен підписання в DKIM-Signature.

Справжнє повідомлення Google про квоту має Return-Path, який закінчується на контрольованому google.com домені, і spf=pass, пов'язаний з ним. Справжнє повідомлення Microsoft перевіряється проти інфраструктури microsoft.com або outlook.com. Якщо Return-Path гласить bounce@mail-secure-upgrade.info, а From претендує на те, що це Microsoft, то конверт і маскування не збігаються. Це невідповідність — це схема, виписана простим текстом.

Як фальшивий лист про квоту взагалі проходить спамфільтр?

Часто він не спуфує домен великого бренду — він зексплуатує законний. Зловмисники компрометують рекламний акаунт малої компанії або невідомого SaaS-відправника, який уже має чинні SPF та DKIM записи. Лист тоді проходить перевірку автентичності чесно, тому що насправді виходить з того сервера. Authentication-Results показує dmarc=pass, і ваш фільтр пропускає його далі.

У цьому пастка. Зелена позначка автентичності означає, що лист справді прийшов з домену в Return-Path — не те, що домен належить Microsoft. Отже, метод такий: прочитайте домен Return-Path, потім запитайте себе, чи цей домен має якусь справу надсилати вам оповіщення про квоту Microsoft. Домен кур'єра, випадкова адреса .shop, зексплуатований сервер бразильської муніципальності — жоден з них не керує вашою квотою Outlook. Це саме той тип невідповідності, яку AI-скринька, яка сигналізує про фішинг, призначена виявляти, перш ніж ви його взагалі відкриєте, прочитавши заголовки, які ви не хочете читати самостійно.

Що я повинен насправді робити, коли такий приходить?

Ніколи не натискайте на кнопку в листі. Перейдіть до сервісу безпосередньо — введіть outlook.com або drive.google.com самостійно — і перевірте своє сховище там. Якщо ви справді близько до ліміту, обидві компанії показують це в налаштуваннях облікового запису, а не через несподіваний посилання.

Справжні повідомлення поводяться також інакше. Google та Microsoft попереджують вас про сховище всередині продукту та у своїх власних панелях облікового запису задовго до будь-якого листа, і їхні повідомлення не змушують вас панікувати зворотним відліком. Законне повідомлення про квоту не маршрутизуватиме вас на сторінку входу на несвязаному домені; фальшиве завжди робить, тому що сторінка входу — це весь сенс схеми — вона крадіння ваш пароль.

Одна остання звичка: наведіть курсор на кнопку, перш ніж ви не натиснете на неї. Якщо хост призначення не закінчується на справжньому домені бренду, Return-Path все це час вам говорив правду.