A Barracuda publicou uma pesquisa em 29 de julho de 2026 rastreando a evolução do LogoKit, um kit de phishing que circula em mercados criminosos desde 2018. O que antes era um modelo simples que inseria um logotipo estático da empresa se tornou algo bem mais difícil de ignorar: uma plataforma de engano em tempo real, baseada em nuvem, que constrói uma réplica personalizada e convincente do verdadeiro empregador da vítima no instante em que ela clica em um link. A própria definição da Barracuda é precisa sobre o que mudou. Isso não é mais personificação de marca. É personificação de ambiente.
De um kit estático a uma plataforma de engano em tempo real
A abordagem original do LogoKit era barata e eficaz o suficiente por anos: pegar o logotipo de uma empresa, colocá-lo em uma página de login falsa genérica e torcer para que a vítima não olhasse com muita atenção. A versão documentada pela Barracuda faz algo categoricamente diferente. Quando o alvo clica no link de phishing, a própria página extrai o endereço de email da vítima a partir da URL, lê o domínio e o usa para identificar exatamente para qual empresa ela trabalha. A partir daí, o kit chama em tempo real um conjunto de serviços comerciais totalmente legítimos: o Thum.io para gerar uma captura de tela real do site verdadeiro da empresa, o Clearbit para obter o logotipo autêntico, e o Google Favicon, o ImageKit e o Microlink para completar imagens de aparência genuína. Nada disso exige que o atacante tenha coletado ou armazenado qualquer informação sobre o alvo com antecedência. A página se monta sozinha, corretamente, para quem quer que clique.
Por que isso fica inteiramente fora do trabalho do DMARC
O DMARC responde a uma única pergunta, bem restrita: o domínio no cabeçalho From estava autorizado a enviar esta mensagem? Ele não tem nenhuma opinião sobre para onde leva um link dentro dessa mensagem, e nenhuma visibilidade sobre o que uma página de destino faz depois do clique. A renderização em tempo real do LogoKit acontece inteiramente depois da autenticação de email, dentro de um navegador, construída a partir de chamadas a APIs que não têm nada a ver com o fluxo de correio da vítima. Uma mensagem pode falhar no DMARC e ser bloqueada antes mesmo de chegar a uma caixa de entrada, ou pode chegar por um canal que a autenticação nunca foi feita para vigiar, como uma mensagem de texto, um aplicativo de chat, um portal de fornecedor comprometido. Assim que o clique acontece, o LogoKit não se importa com como a vítima chegou até ali. O engano agora é visual e situacional, não uma identidade de remetente falsificada que o DMARC poderia ter sinalizado desde o início.
Não é a primeira vez que sinais de confiança são clonados, só a mais rápida
A personificação de marca sempre dependeu de confiança visual emprestada: um logotipo familiar, uma paleta de cores familiar, um layout familiar. O que tornava os kits antigos detectáveis era o descompasso: uma página de phishing pensada para uma empresa sendo enviada a funcionários de outra, ou uma arte ligeiramente desatualizada ou fora de lugar. A abordagem em tempo real do LogoKit elimina completamente esse sinal revelador, porque as imagens não são mais escolhidas antecipadamente pelo atacante. Elas são buscadas ao vivo, corretamente combinadas com a vítima real, no exato momento do clique. A Barracuda encontrou campanhas ativas em inglês, alemão, francês, espanhol, chinês e coreano, apoiadas nas mesmas categorias de isca de sempre que as organizações vêm treinando seus usuários a desconfiar há anos: avisos de expiração de senha, alertas de renovação de certificado, notificações de restrição de conta, avisos de falha na entrega, lembretes de planilha de horas. O texto da isca não mudou. O que está por trás dele, mudou.
O que isso significa para o seu programa
Mantenha o DMARC em modo de aplicação, mas reconheça o que ele não cobre. A autenticação verifica quem enviou uma mensagem. Ela não diz nada sobre o destino de um link dentro dela, e uma página de login clonada em tempo real derrota os hábitos de inspeção visual que o DMARC nunca foi projetado para substituir.
Pare de tratar “a página de login parecia exatamente correta” como evidência significativa. Treine os usuários para entender que uma página de login com marca impecável não é mais, por si só, prova de legitimidade. A barra de endereços, e não a aparência da página, é agora o sinal mais confiável.
Priorize a autenticação resistente a phishing onde as credenciais importam. Chaves de segurança FIDO2 e passkeys de plataforma são vinculadas à origem real e simplesmente não funcionam em uma página clonada, por mais convincente que ela pareça. Isso fecha exatamente a brecha que o LogoKit foi feito para explorar.
Fique atento às categorias específicas de isca que esse kit favorece. Avisos de expiração de senha, renovação de certificado, restrição de conta, falha na entrega e planilhas de horas continuam eficazes justamente por serem rotineiros. Sinalize para revisão qualquer volume incomum de cliques nessas categorias.
Monitore se os ativos da sua própria marca estão sendo capturados por APIs de captura de tela e logotipo. Serviços como o Thum.io e o Clearbit são legítimos e amplamente usados, então não há como bloqueá-los por completo, mas as equipes de segurança podem monitorar tráfego de referência anômalo e páginas de captura de credenciais que imitam o fluxo real de login do próprio domínio.
A conclusão
A evolução do LogoKit é um lembrete de que a autenticação de email e a autenticidade da página de destino são dois problemas inteiramente distintos, resolvidos por dois conjuntos de defesas inteiramente distintos. O DMARC faz exatamente o que foi projetado para fazer: verifica o remetente. Ele nunca foi projetado para verificar o que uma vítima vê três cliques depois, montado ao vivo a partir de serviços que nunca ouviram falar do seu domínio e nunca precisaram falsificá-lo. À medida que os kits de phishing transferem cada vez mais seu trabalho de convencimento para depois da caixa de entrada, o argumento a favor da aplicação do DMARC não enfraquece. Ele simplesmente deixa de ser a história inteira.
A Excello Mail oferece visibilidade contínua sobre a aplicação do seu DMARC e sobre cada origem autorizada a enviar em nome do seu domínio, para que a parte da história que a autenticação consegue controlar fique protegida enquanto sua equipe constrói defesas para o que acontece depois do clique. Cadastre-se gratuitamente na Excello Mail e mantenha sua postura de autenticação impecável contra as ameaças que o DMARC foi criado para impedir.