Email 'Tài khoản đầy dung lượng' là mục tiêu yêu thích của phishing — Hãy xem Return-Path

Cảnh báo hạn dung lượng làm bạn sợ hãi mà không yêu cầu một đồng xu nào, đó chính là lý do tại sao nó hiệu quả. Điều tiết lộ không phải logo hay từ ngữ — đó là header Return-Path. Một cảnh báo hạn ngạch thực từ Microsoft hoặc Google đến từ miền dịch vụ được ký của chính công ty đó. Cái giả sử dụng một miền giống nhau hoặc máy chủ bên thứ ba bị chiếm đoạt, và Return-Path luôn tiết lộ nó.

Tại sao các email 'tài khoản đầy' đột nhiên xuất hiện khắp nơi?

Bởi vì chúng tạo ra tính khẩn cấp mà không có cờ đỏ của yêu cầu thanh toán. Một hóa đơn giả yêu cầu bạn trả tiền; cảnh báo hạn ngạch chỉ nói "hộp thư của bạn sẽ ngừng nhận thư trong 24 giờ — nhấp để nâng cấp miễn phí." Không có thanh toán, không có yêu cầu rõ ràng, vì vậy lực cảnh báo của bạn suy giảm. Phishing thông tin xác thực là động cơ ở đây. Các nhà nghiên cứu về mối đe dọa của Microsoft đã nhiều lần gắn cờ các lure có chủ đề về dung lượng và hạn ngạch là một mẫu bền vững trong các chiến dịch thu hoạch thông tin xác thực, chính vì nó dẫn nạn nhân đến một trang đăng nhập thay vì thanh toán.

Quy mô là phần khó chịu. Báo cáo Xu hướng Hoạt động Phishing của APWG đã đếm được hơn 963.000 cuộc tấn công phishing trong một quý của 2024, với webmail và SaaS là những lĩnh vực bị nhắm mục tiêu nhiều nhất. "Hộp thư của bạn đầy" rẻ để gửi, dễ dàng địa phương hóa, và hạ cánh đúng tại nơi nó đang nói về. Sự kết hợp đó giữ nó trong quay vòng nặng nề.

Return-Path là gì và tôi tìm thấy nó ở đâu?

Đó là địa chỉ phong bì ẩn cho hệ thống thư biết nơi phản hồi một lần gửi không thành công, và nó hiếm khi trùng khớp với dòng "From" giả. "From: Microsoft Account Team" thân thiện là trang điểm — bất cứ ai cũng có thể gõ điều đó. Return-Path được đặt bởi máy chủ gửi và là những gì SPF và DMARC thực sự kiểm tra chống lại.

Để xem nó, hãy mở nguồn thô của tin nhắn. Trong Gmail, đó là menu ba chấm, sau đó là "Show original." Trong Outlook, hãy mở tin nhắn và xem "Properties" cho các header internet. Quét ba dòng: Return-Path, Authentication-Results, và miền ký trong DKIM-Signature.

Một cảnh báo hạn ngạch Google thực có Return-Path kết thúc bằng một miền được kiểm soát bởi google.com và một spf=pass được gắn với nó. Một cảnh báo Microsoft thực xác thực chống lại cơ sở hạ tầng microsoft.com hoặc outlook.com. Nếu Return-Path đọc bounce@mail-secure-upgrade.info trong khi From tuyên bố là Microsoft, phong bì và bộ trang phục không khớp. Sự không khớp đó là trò lừa, được nêu rõ trong văn bản thuần.

Làm thế nào để một email hạn ngạch giả vượt qua bộ lọc spam?

Thường nó không mạo danh miền của thương hiệu lớn — nó chiếm đoạt miền hợp pháp. Các kẻ tấn công chiếm một tài khoản tiếp thị của công ty nhỏ hoặc người gửi SaaS không rõ ràng đã có các bản ghi SPF và DKIM hợp lệ. Email sau đó vượt qua xác thực một cách trung thực, bởi vì nó thực sự đến từ máy chủ đó. Authentication-Results hiển thị dmarc=pass, và bộ lọc của bạn để nó qua.

Đó là cái bẫy. Một kiểm tra xác thực xanh lá cây có nghĩa là tin nhắn thực sự đến từ miền trong Return-Path — không phải rằng miền đó là Microsoft. Vì vậy phương pháp là: đọc miền Return-Path, sau đó hỏi liệu miền đó có bất kỳ việc kinh doanh nào gửi cho bạn một cảnh báo dung lượng Microsoft. Miền của một nhà cung cấp, một địa chỉ .shop ngẫu nhiên, máy chủ bị chiếm đoạt của một thành phố Brazil — không ai trong số họ chạy hạn ngạch Outlook của bạn. Đây là loại không khớp mà một hộp thư AI gắn cờ phishing được xây dựng để bề mặt trước khi bạn bao giờ mở nó, bằng cách đọc các header mà bạn sẽ không muốn.

Tôi thực sự nên làm gì khi một cái hạ cánh?

Không bao giờ nhấp nút trong email. Đi đến dịch vụ trực tiếp — gõ outlook.com hoặc drive.google.com tự mình — và kiểm tra dung lượng của bạn ở đó. Nếu bạn thực sự gần gimit, cả hai công ty đều hiển thị nó trong cài đặt tài khoản, không phải thông qua một liên kết bất ngờ.

Các thông báo thực cũng hoạt động khác nhau. Google và Microsoft cảnh báo bạn về dung lượng bên trong sản phẩm và trên các bảng điều khiển tài khoản của riêng họ lâu trước bất kỳ email nào, và các tin nhắn của họ không đếm ngược bạn vào hoảng loạn. Một email hạn ngạch hợp pháp sẽ không dẫn bạn đến một trang đăng nhập trên một miền không liên quan; cái giả luôn làm vậy, vì trang đăng nhập là toàn bộ điểm — nó thu hoạch mật khẩu của bạn.

Một thói quen cuối cùng: di chuột qua nút trước khi bạn không nhấp vào nó. Nếu máy chủ đích không kết thúc bằng miền thực của thương hiệu, Return-Path đã nói cho bạn biết sự thật ngay từ đầu.