A equipe Red Team da Barracuda publicou uma pesquisa em 4 de agosto de 2026, antes da Black Hat USA 2026, que deveria mudar a forma como as equipes de segurança pensam sobre os assistentes de IA hoje embutidos em praticamente toda caixa de entrada corporativa. A prova de conceito controlada partiu de uma única conta do Microsoft 365 já comprometida, o tipo de ponto de apoio que os atacantes conseguem todos os dias por meio do roubo comum de credenciais. O que veio a seguir não exigiu malware, um segundo email de phishing nem qualquer exploit. Exigiu apenas dar instruções à licença do Microsoft Copilot daquela mesma conta. Em poucos minutos, os pesquisadores já haviam se passado pelo CEO da empresa e redirecionado uma transferência bancária real no valor de US$ 247.500.
Nada nesse ataque toca o trabalho do DMARC. A caixa de entrada era real. O domínio era real. Cada mensagem que o Copilot redigiu e enviou saiu de uma infraestrutura que já havia passado por SPF, DKIM e DMARC muito antes de o proprietário humano perder o controle da conta.
O assistente de IA como um infiltrado instantâneo
Os pesquisadores da Barracuda descreveram uma escalada em três etapas. Primeiro, o atacante pediu ao Copilot que criasse uma regra de caixa de entrada movendo qualquer mensagem com “sign-in” no assunto diretamente para Itens Excluídos, uma única instrução que silenciou os alertas de recuperação de conta que de outra forma teriam avisado o verdadeiro proprietário. Segundo, o atacante pediu ao Copilot que vasculhasse a caixa de entrada, o calendário e o histórico de mensagens em busca da estrutura organizacional: quem aprovava pagamentos, quem se reportava a quem, quais threads discutiam orçamentos e faturas. Terceiro, o atacante pediu ao Copilot que redigisse uma resposta em um thread real de aprovação do orçamento do terceiro trimestre, escrita no tom já estabelecido do funcionário comprometido, com um link apresentado como confirmação de fatura. A vítima do outro lado estava lidando com um colega em quem já confiava, em uma conversa que já estava em andamento, escrita exatamente da forma como aquele colega sempre escrevia. A transferência bancária foi concluída.
O que antes exigiria de um atacante horas de reconhecimento manual e imitação cuidadosa, lendo meses de email, aprendendo o estilo de um alvo, mapeando o organograma à mão, tomou do Copilot apenas minutos, porque é exatamente isso que um assistente de IA foi feito para fazer bem.
Por que a autenticação nunca fez parte da equação
O DMARC existe para responder a uma única pergunta: se o domínio indicado no cabeçalho From autorizou a infraestrutura que enviou a mensagem. No cenário da Barracuda, essa pergunta tem uma resposta fácil, correta e completamente inútil. Sim. O domínio autorizou a infraestrutura, porque a infraestrutura era o próprio serviço Exchange Online da Microsoft enviando em nome de uma conta que genuinamente pertencia àquele domínio. Não havia domínio parecido, relé externo ou cabeçalho falsificado para nenhuma camada de autenticação detectar. Esse é o mesmo modo de falha da “caixa de entrada genuinamente comprometida” que tem aparecido repetidamente este ano, mas com um novo acelerador: o próprio assistente de IA da caixa de entrada fazendo a seleção de alvos e a redação no lugar do atacante, em uma velocidade que nenhum operador humano de red team conseguiria igualar.
Não é uma falha do Copilot. É um recurso, usado exatamente como foi projetado.
A Barracuda fez questão de destacar que nada nessa cadeia explorou uma vulnerabilidade do Copilot. A criação de regras de caixa de entrada, a busca em conversas e a redação com estilo imitado são recursos comuns, presentes porque tornam funcionários legítimos mais rápidos em seu trabalho. O problema é que esses mesmos recursos herdam todo o nível de acesso e confiança da conta que os invoca, sem nenhum conceito de se as mãos no teclado pertencem ao dono da conta ou a alguém que roubou sua sessão. A conclusão da própria Barracuda foi direta: essa técnica não é exclusiva do Copilot, e o mesmo caminho de escalada está disponível por meio de qualquer assistente de IA corporativo conectado a uma caixa de entrada comprometida.
O que isso significa para o seu programa
Trate o acesso do assistente de IA como algo que herda privilégio total da conta, porque é exatamente isso que acontece. Um Copilot, Gemini ou assistente semelhante vinculado a uma caixa de entrada pode ler tudo o que essa caixa de entrada pode ler e redigir tudo o que essa caixa de entrada pode enviar. Revise sobre o que essas integrações podem agir, não apenas o que podem ver.
Monitore o abuso de regras de caixa de entrada como um sinal específico e de alto valor. Regras que ocultam silenciosamente mensagens contendo “sign-in”, “alerta de segurança” ou termos semelhantes são um padrão de evasão conhecido. Gere alertas para novas regras de ocultação ou exclusão automática que envolvam esses termos e trate-as como um indicador de comprometimento que merece revisão imediata.
Priorize autenticação resistente a phishing para as contas mais críticas. O habilitador raiz desse ataque não foi o assistente de IA. Foi o comprometimento inicial da conta. Chaves de segurança FIDO2 e passkeys de plataforma fecham a porta por onde toda essa cadeia passou.
Mantenha o DMARC aplicado de qualquer forma. Esse incidente não enfraquece o argumento a favor do DMARC em modo reject. Ele demonstra uma categoria de risco totalmente separada, uma que vive dentro de uma conta na qual o seu domínio já, corretamente, confia.
Adicione a atividade do assistente de IA à sua superfície de detecção. O monitoramento apenas no nível de sessão, que observa somente logins suspeitos, vai deixar passar esse ataque completamente, porque o login já havia sido bem-sucedido antes mesmo de qualquer instrução ser dada ao assistente de IA. Consultas incomuns do assistente sobre threads financeiros ou conversas executivas merecem o mesmo escrutínio que uma geografia de login incomum.
A conclusão
Os atacantes não precisam mais redigir um email de phishing convincente por conta própria. Assim que têm uma conta ativa e comprometida, podem pedir ao próprio assistente de IA daquela conta que encontre o alvo certo, aprenda o tom certo e redija a mensagem certa, tudo em minutos, e cada mensagem enviada depois disso está totalmente em conformidade com o DMARC, porque genuinamente vem do domínio que afirma representar. A autenticação foi criada para verificar se uma mensagem veio de onde diz ter vindo. Ela nunca foi criada para perguntar se a pessoa operando aquela conta, humana ou assistida por IA, é quem o dono do domínio pretendia.
A Excello Mail te dá visibilidade contínua sobre o cumprimento do seu DMARC e sobre cada fonte autorizada a enviar em nome do seu domínio, para que o comprometimento de uma conta se destaque rapidamente em vez de se misturar ao tráfego normal. Cadastre-se gratuitamente na Excello Mail e mantenha sua postura de autenticação impecável enquanto sua equipe constrói defesas para o que acontece depois que uma conta real é tomada por um atacante.