A Help Net Security publicou em 3 de agosto de 2026 uma entrevista em vídeo com Mike Boyle, VP de Unidades de Negócio na GMO GlobalSign, e Rahul Powar, CEO e fundador da Red Sift, percorrendo a história da segurança de e-mail desde a era anterior ao SPF até hoje. O ponto central não é bem uma nova estatística, mas uma admissão estrutural de duas pessoas que constroem essa infraestrutura para viver disso: os sinais que costumavam denunciar um e-mail de phishing, frases estranhas, expressões mal traduzidas, saudações genéricas, já não existem de forma confiável. A IA generativa agora produz um e-mail de phishing convincente e contextualizado no tempo que antes um atacante levava para descobrir o cargo do alvo.
Essa mudança importa porque a maior parte do treinamento de segurança de e-mail construído nas últimas duas décadas se baseia em ensinar as pessoas a perceberem algo estranho. Perceber algo estranho fica cada vez mais difícil quando a ferramenta que escreve a mensagem já leu o histórico público do LinkedIn do destinatário e reproduz o tom de voz real do empregador dele. A entrevista coloca isso sem rodeios: a defesa precisa deixar de detectar má redação e passar a verificar identidade, porque a qualidade da escrita deixou de ser um sinal em que qualquer um dos lados possa confiar.
Por Que os Sinais de Sempre Estão Desaparecendo
Por anos, o treinamento de conscientização em segurança se apoiou em uma lista conhecida: verificar o endereço do remetente, procurar erros de digitação, desconfiar da urgência. Esses controles ainda pegam o spam pouco sofisticado, mas nunca resistiriam a um modelo capaz de redigir um e-mail impecável e específico ao contexto, mencionando um relacionamento real com um fornecedor, o nome real de um projeto ou os padrões reais de escrita de um executivo extraídos de correspondência pública anterior. Os atacantes não precisam mais de um redator humano fluente no idioma e no jargão do setor do alvo. Precisam de um prompt.
O que não muda com uma redação melhor é o transporte subjacente. Um e-mail falsificado ainda precisa afirmar que veio de um domínio do qual não foi realmente enviado, a menos que o remetente esteja usando uma conta genuinamente comprometida. Essa é a camada que a IA ainda não encontrou como contornar, e é a camada que DMARC, SPF e DKIM foram criados para policiar.
Autenticação Como o Sinal que Não Pode Ser Gerado com um Prompt
O DMARC informa a uma caixa de entrada receptora se o domínio remetente declarado está respaldado por autenticação SPF ou DKIM válida e alinhada a esse domínio. Nenhum resultado de um modelo de linguagem muda se essa verificação passa ou não. Um atacante pode escrever um e-mail indistinguível de um real, mas sem controlar o DNS e as chaves de assinatura do domínio, esse e-mail ainda falha no DMARC ao tentar se passar por um domínio protegido.
O BIMI estende essa mesma autenticação para algo que um destinatário realmente consegue notar sem ler cabeçalhos técnicos. Um logotipo de marca verificado aparece ao lado da mensagem na caixa de entrada, mas apenas para domínios que já aplicam o DMARC em p=quarantine ou p=reject. Essa exigência é exatamente o ponto principal. Um logotipo não vale nada como sinal de confiança se qualquer remetente pode anexá-lo a qualquer mensagem, então o BIMI vincula a exibição ao nível de aplicação do DMARC que um domínio realmente alcançou, não a uma afirmação no corpo da mensagem.
Levar um domínio até esse ponto hoje passa por um de dois tipos de certificado. Um Verified Mark Certificate exige uma marca registrada e exibe uma marca de verificação ao lado do logotipo. Um Common Mark Certificate, uma alternativa mais nova e mais barata que vários provedores de caixa de entrada, incluindo o Gmail, já aceitam, exige apenas que o logotipo esteja em uso público há pelo menos doze meses, sem necessidade de registro de marca. Ambos ainda exigem o mesmo pré-requisito de aplicação do DMARC por baixo.
O Setor Está se Consolidando em Torno Dessa Dupla
A entrevista acontece no contexto de uma parceria que a Red Sift e a GMO GlobalSign anunciaram em 15 de junho de 2026, combinando a plataforma OnDMARC da Red Sift com a emissão de certificados da GMO GlobalSign, para que um proprietário de domínio possa sair do monitoramento de DMARC, passar pela emissão de um VMC ou CMC e chegar a um logotipo BIMI ativo sem precisar coordenar separadamente entre fornecedores diferentes. Esse tipo de empacotamento é, por si só, um sinal: duas empresas que vivem de vender infraestrutura de autenticação e certificados de marca estão apostando que a lacuna entre “tecnicamente autenticado” e “visivelmente confiável para um destinatário” é para onde vai a próxima onda de investimento em defesa de e-mail, justamente porque a IA tornou o conteúdo de uma mensagem um indicador pior do que nunca.
O Que Isso Significa para o Seu Domínio
Pare de treinar as pessoas para detectar má redação como defesa principal. Já era um controle fraco. Contra phishing gerado por IA, é praticamente inútil, e continuar se apoiando nele dá à sua organização uma falsa sensação de segurança.
Leve o DMARC ao nível de aplicação, se ainda não o fez. Um registro em p=none dá visibilidade sobre quem está enviando em nome do seu domínio, mas não bloqueia nada e não é elegível para exibição de BIMI, não importa quão bom seja o seu logotipo.
Trate o BIMI como o próximo passo depois da aplicação, não antes dela. Um CMC agora é uma opção realista para marcas sem registro de marca, o que elimina a desculpa de que o BIMI era só para grandes empresas litigiosas protegendo uma marca legal.
Espere que os destinatários se apoiem mais em sinais visuais e estruturais do que textuais. À medida que a IA corrói o sinal de qualidade da escrita, um logotipo verificado ao lado de uma mensagem se torna uma das poucas pistas em que um destinatário pode confiar sem precisar inspecionar um único cabeçalho.
A Conclusão
A parte incômoda desta entrevista é o quanto ela torna a ameaça do phishing com IA parecer comum. Não é um exploit inédito nem um dia zero. É uma ferramenta que escreve texto convincente rapidamente, aplicada a um problema, enganar uma pessoa para que confie em uma mensagem, que existe desde que o e-mail existe. A única peça dessa equação que a IA ainda não tocou é a autenticação em nível de domínio, e é exatamente por isso que a aplicação do DMARC e o logotipo BIMI construído sobre ela estão se tornando a base mínima, e não um recurso opcional.
A Excello Mail ajuda você a levar seu domínio à aplicação do DMARC e oferece visibilidade contínua sobre sua configuração de SPF, DKIM e BIMI, para que o sinal de confiança que um destinatário vê na caixa de entrada seja sustentado por autenticação real por baixo. Cadastre-se gratuitamente na Excello Mail e veja em que ponto está o seu domínio hoje.