"账户存储已满"邮件是网络钓鱼的最爱——看看Return-Path

存储配额警告会吓唬你，但不会要求你花一分钱，这正是它有效的原因。真假的区别不在标志或措辞上——而在Return-Path标题。来自Microsoft或Google的真正配额通知来自那家公司自己的已签名服务域。假的则使用了仿冒或被劫持的第三方服务器，Return-Path每次都会暴露这一点。

为什么"存储已满"的邮件突然随处可见？

因为它们制造紧迫感，而不会触发金钱请求这样明显的危险信号。假发票要求你付钱；而配额警告只是说"你的收件箱将在24小时内停止接收邮件——免费点击升级"。没有付款，没有明显的请求，所以你的警惕性下降了。凭证网络钓鱼是这里的引擎。Microsoft的威胁研究人员已经多次标记存储和配额主题的诱饵是凭证收集活动中一个经久不衰的模板，正是因为它们将受害者路由到登录页面而不是结账页面。

规模是令人不安的部分。APWG的《网络钓鱼活动趋势报告》在2024年单个季度内计数了超过963,000起网络钓鱼攻击，其中网络邮件和SaaS属于最常被攻击的部门。"你的邮箱已满"发送成本低，本地化很简单，而且直接落入它正在谈论的地方。这种组合让它保持在高频率使用中。

什么是Return-Path，我在哪里找到它？

它是隐藏的信封地址，告诉邮件系统在投递失败时将邮件退回到哪里，它很少与被欺骗的"From"行相匹配。友好的"From: Microsoft Account Team"只是表面的——任何人都可以输入那个。Return-Path由发送服务器设置，是SPF和DMARC实际检查的对象。

要查看它，打开邮件的原始源。在Gmail中，那是三点菜单，然后"显示原始邮件"。在Outlook中，打开邮件并查看"属性"下的互联网标题。扫描三行：Return-Path、Authentication-Results和DKIM-Signature中的签名域。

真正的Google配额通知的Return-Path以google.com控制的域结尾，并且与它关联的spf=pass。真正的Microsoft通知在microsoft.com或outlook.com基础设施上进行身份验证。如果Return-Path读取为bounce@mail-secure-upgrade.info而From声称来自Microsoft，那么信封和外壳不相匹配。这种不匹配就是骗局，用纯文本陈述。

假配额邮件如何通过垃圾邮件过滤器的？

通常它不会欺骗大品牌的域——它会劫持合法的域。攻击者破坏一家小公司的营销账户或一个不起眼的SaaS发件人，这些发件人已经拥有有效的SPF和DKIM记录。邮件随后通过身份验证，因为它确实来自那个服务器。Authentication-Results显示dmarc=pass，你的过滤器就会放行它。

这就是陷阱。绿色身份验证检查意味着邮件确实来自Return-Path中的域——而不是说该域是Microsoft。所以方法是：读Return-Path域，然后问自己该域是否有任何理由向你发送Microsoft存储警告。快递公司的域、随机的.shop地址、巴西某市被劫持的服务器——这些都不运行你的Outlook配额。这是一种不匹配，标记网络钓鱼的AI收件箱在你打开邮件之前就能通过读取你不想看的标题来浮现这种情况。

当它进来时，我应该怎么做？

永远不要点击邮件中的按钮。直接访问该服务——自己输入outlook.com或drive.google.com——并在那里检查你的存储。如果你确实接近限制，两家公司都会在账户设置中显示，而不是通过意外链接。

真正的通知的行为也不同。Google和Microsoft在产品内和他们自己的账户仪表板中警告你关于存储，这发生在任何邮件很久之前，他们的邮件不会用倒计时让你陷入恐慌。合法配额邮件不会将你路由到不相关域上的登录页面；假邮件总是会这样，因为登录页面就是整个目的——它会收集你的密码。

最后一个习惯：在你不点击按钮之前先悬停在按钮上。如果目标主机不以品牌的真实域结尾，Return-Path一直都在告诉你真相。