A equipe de pesquisa de ameaças SpiderLabs da LevelBlue, o grupo que antes fazia parte da AT&T Cybersecurity, encerrou sua análise da atividade de comprometimento de email corporativo (BEC) de 2025 com um número que deveria reformular a forma como a maioria das equipes de segurança pensa a defesa contra BEC. O volume de ataques cresceu 15% em relação ao ano anterior. Mas a descoberta mais relevante estava dentro dos próprios dados das iscas. Entre os milhares de casos de BEC que a SpiderLabs analisou, “Solicitação de Contato” foi a tática de abertura mais comum, aparecendo em 43% dos casos, e as táticas de callback phishing mais que dobraram de popularidade ao longo do ano. Nenhum desses dois números descreve um ataque de email da forma como a maioria das defesas foi construída para pensar. Eles descrevem um email que existe unicamente para fazer a vítima parar de usar o email.
O Único Trabalho do Email É Tirar Você do Email
Um ataque de BEC de canal duplo começa da mesma forma que a maioria das tentativas de personificação, com uma mensagem curta que parece vir de um executivo, um fornecedor ou um colega. O que ele não faz é pedir dinheiro, uma senha ou um clique. Ele pede um número de telefone, um contato de WhatsApp, ou convida o destinatário a retornar uma ligação. “Você está na sua mesa? Preciso confirmar uma coisa com você, qual o melhor número para te encontrar?” é uma frase plausível e nada chamativa, e esse é justamente o design. Não há link malicioso para um gateway de email seguro analisar em sandbox, nenhum anexo para um antivírus escanear, nenhum pedido financeiro para um modelo de detecção de BEC treinado em linguagem de transferência bancária sinalizar. A mensagem está, por construção, vazia de tudo o que as defesas automatizadas foram feitas para capturar.
Assim que o destinatário responde com um número de telefone, o atacante já venceu a única batalha que importava dentro do canal de email. Tudo o que vem depois, a história urgente, a mudança bancária fabricada, a pressão para agir antes de um prazo, acontece por ligação de voz, por uma conversa de SMS ou de WhatsApp que nenhum filtro de email corporativo jamais vai ver.
O Callback Phishing Dobrou, e Vem com um Operador ao Vivo
A SpiderLabs também registrou um forte aumento no callback phishing, às vezes chamado de entrega de ataque orientada por telefone, em que o email isca instrui o destinatário a ligar para um número em vez de pedir um. Quando a vítima liga, um operador ao vivo atende, muitas vezes seguindo um roteiro ligado à marca ou ao executivo personificado, e a conduz pelas ações que importam: aprovar um pagamento, instalar uma ferramenta de acesso remoto ou ler em voz alta um código de uso único. A pesquisa também apontou a personificação multi-persona como um padrão em crescimento, em que a identidade do outro lado da conversa muda no meio do ataque, um “assistente executivo” passando a ligação para um “diretor financeiro”, e cada troca acrescenta uma camada de legitimidade fabricada que um único nome de remetente falsificado jamais conseguiria sustentar sozinho.
Por Que Nada Disso Toca no Que o DMARC Verifica
Toda a proposta de valor do DMARC se apoia em uma suposição: a de que a instrução fraudulenta em si, a fatura falsa, os dados bancários alterados, o pedido urgente de transferência, chega dentro de uma mensagem cujo cabeçalho From mente sobre sua origem. Essa suposição vale para uma fatia enorme do volume de BEC, e é exatamente por isso que a aplicação do DMARC importa. Aqui, ela não vale. Um email de “Solicitação de Contato” não carrega instrução fraudulenta alguma. Com frequência, ele é enviado de um domínio que se autentica sem problemas, seja porque o atacante registrou seu próprio domínio e configurou SPF, DKIM e DMARC corretamente para ele, como qualquer remetente legítimo faria, seja porque a mensagem veio de uma caixa de entrada genuinamente comprometida que nunca foi falsificada, para começo de conversa. O DMARC verifica se um domínio está autorizado a enviar uma mensagem. Ele não tem opinião sobre o que a mensagem diz, e não tem absolutamente nenhuma visibilidade sobre uma ligação telefônica, uma conversa de SMS ou de WhatsApp que acontece depois que o email já fez seu trabalho e ficou em silêncio.
Isso não é uma falha na implementação do DMARC. É o limite daquilo que um protocolo de autenticação de email foi projetado para avaliar, e o BEC de canal duplo é uma tática projetada especificamente para repassar a fraude a um canal que fica além desse limite.
O Que Isso Significa para o Seu Programa
Treine a equipe para tratar “vamos tirar isso do email” como o alerta, não o clique. Uma mensagem curta, sem conteúdo, que empurra em direção a um número de telefone ou um aplicativo de mensagens deveria gerar mais suspeita do que uma mensagem com um link malicioso óbvio, justamente porque foi projetada para levantar menos suspeita.
Nunca retorne uma ligação para um número fornecido dentro do email que a solicitou. Verifique o pedido por meio de um número de telefone ou método de contato que sua organização já tinha registrado antes de a mensagem chegar, não um introduzido na mesma conversa que está pedindo algo.
Encaminhe mudanças financeiras e de dados bancários por um canal estabelecido antes da solicitação, com um segundo aprovador que não tenha participado da conversa original. Um ataque de canal duplo é construído para isolar um único funcionário através de dois canais que ele controla. Uma etapa de verificação que alcança fora dos dois canais rompe esse isolamento.
Sinalize mensagens de primeiro contato e baixo conteúdo que solicitam um número de telefone ou contato de mensagens de remetentes externos que se dizem executivos ou fornecedores. Essas mensagens são incomuns o suficiente como categoria, pouca informação, alta urgência para alcançar uma pessoa, para merecer uma regra de filtro permanente, mesmo que nenhuma instância individual pareça obviamente maliciosa.
Mantenha o DMARC aplicado em reject de qualquer forma. Ele continua fechando a porta para quem tenta falsificar seu domínio diretamente para abrir uma dessas conversas, e uma parte considerável do BEC ainda começa exatamente assim.
A Conclusão
A defesa contra BEC passou anos convergindo para a autenticação de email e a inspeção de conteúdo, e ambas continuam necessárias. Mas uma isca que pede um número de telefone em vez de uma senha não precisa vencer nenhuma das duas, porque nunca as aciona. Os dados da LevelBlue mostram que quase metade da atividade de BEC que eles rastrearam agora é construída exatamente em torno dessa transição, para fora da caixa de entrada e rumo a um canal que nenhum controle de email jamais esteve posicionado para observar. Fechar essa lacuna exige hábitos de verificação e confirmação fora de banda ao lado do DMARC, não uma versão mais forte do próprio DMARC.
A Excello Mail oferece visibilidade contínua sobre a aplicação do seu DMARC e sobre cada fonte autorizada a enviar emails sob seu domínio, para que o canal de email permaneça bem protegido enquanto sua equipe lida com o problema mais difícil do que acontece depois que alguém responde. Cadastre-se gratuitamente na Excello Mail e veja exatamente quem está enviando emails como você, o tempo todo.