A Gen Digital, empresa por trás da Norton e da Avast, publicou este mês seu Relatório de Ameaças H1 2026, e dentro dele há uma cadeia de ataque que merece mais atenção do que costuma receber. Os pesquisadores documentaram uma campanha de malware bancário rodando na Tchéquia, Eslováquia e Polônia que entrega sua carga inicial por meio de emails disfarçados de avisos de envio, alertas de documento digitalizado e faturas. Em alguns casos, esses emails vinham de caixas de entrada que não estavam sendo falsificadas de forma alguma. Eram contas corporativas reais, já comprometidas, enviando email real por infraestrutura que sempre esteve autorizada a enviá-lo. Toda verificação de autenticação que um servidor de destino consegue rodar volta limpa, porque nada em relação ao remetente jamais foi forjado.
Como a cadeia realmente funciona
O ataque começa com o que parece correspondência comercial comum: um anexo de fatura, uma confirmação de envio, uma notificação de documento digitalizado. Abrir o anexo aciona um dropper em JavaScript, que baixa uma série de estágios em PowerShell, que por sua vez carregam shellcode na máquina. A carga final não tenta roubar uma senha diretamente. Ela modifica as configurações de proxy da vítima e instala extensões de navegador maliciosas, posicionando-se para interceptar a própria sessão de internet banking da vítima na próxima vez que ela fizer login. A vítima se autentica normalmente, e o malware observa, ou redireciona, de dentro do navegador.
Caixa de entrada comprometida, dropper em JavaScript, estágios em PowerShell, carregador de shellcode, manipulação de proxy e navegador. Cinco elos, e o primeiro é a única parte da cadeia que as ferramentas de segurança de email realmente chegam a examinar.
Por que a caixa de entrada comprometida é o ponto central
Iscas de correspondência comercial funcionam porque exploram uma relação de confiança já existente, e essa confiança é mais forte quando o email realmente vem de onde diz que vem. Os pesquisadores da Gen apontaram isso diretamente: mensagens enviadas de caixas de entrada corporativas comprometidas pareciam legítimas não só para os humanos que as liam, mas também para os sistemas de segurança de email que as inspecionavam. Um gateway que verifica o alinhamento de SPF, DKIM e DMARC em uma dessas mensagens encontra exatamente o que espera encontrar, porque o domínio realmente a enviou. Não há domínio parecido, nem truque de nome de exibição, nem homóglifo. A conta em si é a vulnerabilidade, e uma vez comprometida, o atacante herda toda a confiança de autenticação que aquela conta já teve.
Esse é um modo de falha diferente da fraude de fatura de fornecedor que dominou as manchetes de BEC este ano. Ali, o resultado é uma transferência bancária redirecionada. Aqui, o resultado é a instalação de malware, usando o mesmo acesso, o mesmo canal autenticado e a mesma brecha estrutural.
Uma segunda cadeia, o mesmo tema de fundo
O outro achado principal do relatório é um sequestrador de área de transferência compilado em Rust que monitora o texto copiado em busca de endereços de carteiras de criptomoedas em 21 tipos de blockchain, incluindo BTC, ETH e LTC, e substitui silenciosamente por um endereço controlado pelo atacante assim que detecta um. A vítima copia um endereço, cola, e aprova o que parece uma transação completamente normal. É um caminho de entrega diferente do da cadeia de malware bancário, mas compartilha a tese mais ampla do relatório: os atacantes estão cada vez mais construindo ataques em torno das partes de um fluxo de trabalho em que as pessoas confiam automaticamente, seja a caixa de entrada de um remetente conhecido, seja a própria área de transferência.
A escala por trás das duas descobertas não é pequena. Golpes representaram quase 46% de todas as detecções de ameaças da Gen no primeiro semestre de 2026, com a publicidade maliciosa respondendo por perto de mais 30%. A empresa bloqueou 114,2 milhões de tentativas de golpe de loja online e 20,3 milhões de tentativas de golpe de suporte técnico no mesmo período. Separadamente, a Gen identificou mais de 15,7 milhões de registros vazados contendo endereços de email, e registrou 18.618 eventos de vazamento afetando seus clientes, um aumento de 94,5% em relação ao segundo semestre de 2025. Os alertas de notificação de vazamento da Norton e da LifeLock com uma fonte de vazamento atribuída subiram 628,1%, chegando a 3,3 milhões, de um total de mais de 10 milhões de notificações de vazamento enviadas. Cada uma dessas credenciais e caixas de entrada vazadas é um ponto de entrada em potencial exatamente para o tipo de campanha descrita acima.
Por que o DMARC não tem nada a dizer sobre isso
O DMARC existe para responder a uma pergunta: se o domínio no cabeçalho From estava autorizado a enviar essa mensagem. Quando a resposta é genuinamente sim, porque a caixa de entrada remetente pertence a esse domínio e simplesmente foi tomada por um atacante, não sobra nada para o DMARC sinalizar. O SPF passa porque o email realmente se originou na infraestrutura autorizada do domínio. O DKIM passa porque foi assinado com a chave privada real do domínio, dentro do seu sistema de email real. O alinhamento passa porque nunca houve nenhuma discrepância para detectar. Isso não é uma brecha em como o DMARC está configurado. É o limite do que o protocolo foi projetado para verificar desde o início: a autorização da infraestrutura de envio, não a integridade da pessoa ou conta que a utiliza.
O que isso significa para o seu programa
Trate a invasão de contas, não só a falsificação de domínio, como um risco relacionado ao DMARC. Um domínio em p=reject impede que pessoas de fora forjem seu email. Não faz nada se a caixa de entrada de alguém interno for comprometida e usada para enviar email real a partir de uma conta real. A higiene de credenciais e a detecção de anomalias no nível da caixa de entrada ficam fora do DMARC, mas pertencem à mesma conversa.
Fique de olho em anomalias de comportamento de envio dentro do email autenticado, não só nas falhas. Uma caixa de entrada que de repente passa a enviar anexos com tema de fatura para contatos aos quais nunca escreveu antes é um sinal, mesmo que toda verificação de autenticação que ela dispare volte verde. O monitoramento comportamental sobre o seu próprio fluxo de email pega o que as verificações no nível de protocolo estruturalmente não conseguem.
Coloque em sandbox anexos com iscas de fatura, envio e documento digitalizado especificamente. Esses três pretextos sustentaram toda essa campanha porque são comuns o bastante para baixar a guarda de quem lê. A análise estática ou dinâmica de anexos dessas categorias, independentemente da reputação do remetente, adiciona uma camada que a autenticação não consegue oferecer.
Assuma que qualquer credencial exposta em um vazamento pode virar um comprometimento de caixa de entrada. Com a Gen registrando dezenas de milhares de eventos de vazamento e milhões de registros recém-expostos só no primeiro semestre de 2026, a matéria-prima para esse tipo de campanha continua crescendo. Aplique a rotação de credenciais e a autenticação multifator no acesso às caixas de entrada como padrão básico, não como algo pensado depois.
Mantenha o DMARC aplicado em reject de qualquer forma. Ele continua sendo a defesa correta e necessária contra a falsificação de domínio, e essa campanha não muda isso. Ela simplesmente opera uma camada abaixo de onde o DMARC olha, e é exatamente por isso que precisa de um conjunto diferente de controles ao lado da autenticação, não no lugar dela.
A conclusão
Os atacantes por trás dessa campanha não precisaram vencer o DMARC. Eles simplesmente contornaram, assumindo o controle de uma conta na qual o DMARC já confiava corretamente. À medida que o comprometimento de caixas de entrada vira um mecanismo de entrega de malware, e não só um veículo para fraudes pontuais de transferência, a distância entre “este email está autenticado” e “este email é seguro” continua aumentando. A autenticação diz que o domínio é real. Ela nunca ia dizer se a conta por trás dele ainda está nas mãos de quem é dono dela.
A Excello Mail te dá visibilidade contínua sobre o cumprimento do seu DMARC e sobre cada fonte autorizada a enviar em nome do seu domínio, para que sua postura de autenticação permaneça forte enquanto sua equipe constrói as defesas em nível de conta que capturam o que o DMARC estruturalmente não consegue. Cadastre-se gratuitamente na Excello Mail e veja exatamente quem está enviando emails como você, o tempo todo.