A maioria dos gateways de e-mail seguros reescreve os links dentro de uma mensagem antes que ela chegue a uma caixa de entrada, substituindo a URL original por uma com a marca do fornecedor, que primeiro passa pela infraestrutura de varredura do próprio fornecedor. É um recurso genuinamente útil, e já é padrão há anos. Pesquisadores da LevelBlue SpiderLabs passaram a segunda metade de 2025 e as primeiras semanas de 2026 documentando como os atacantes transformaram esse mesmo recurso em seu próprio mecanismo de entrega, empilhando links reescritos de vários fornecedores uns sobre os outros até que a cadeia resultante seja longa o suficiente, e confiável o suficiente, para passar direto pelas defesas que a criaram.
O que a reescrita de URLs deveria fazer
A lógica por trás da reescrita de links é sólida. Um gateway de e-mail seguro intercepta uma mensagem recebida, substitui cada URL do corpo por uma nova apontando para o próprio domínio do fornecedor, e verifica o destino real no momento do clique, não no momento da entrega, já que um link que estava limpo há uma hora pode ter se tornado uma arma até o momento em que alguém realmente clica nele. O link reescrito é uma promessa: este fornecedor verificou para onde isso leva, e verifica novamente toda vez que é clicado. Essa promessa é exatamente o que o torna valioso de ser roubado.
Encadeando confiança em vez de quebrá-la
A técnica que os pesquisadores estão rastreando agora não ataca o serviço de reescrita de nenhum fornecedor específico. Ela explora o fato de que um link pode passar por mais de um. Um atacante que compromete uma caixa de entrada em uma organização que usa o gateway de um fornecedor pode enviar um link malicioso internamente, deixar que esse gateway o reescreva e, na prática, o avalize, e então pegar o link encapsulado resultante e passá-lo pelo gateway de uma segunda organização, e uma terceira, cada uma empilhando seu próprio domínio confiável sobre o anterior. No momento em que o link sai em uma campanha de phishing em massa, ele carrega a credibilidade visual e estrutural de várias marcas de segurança ao mesmo tempo, e nenhum fornecedor isolado consegue ver além da camada bem à sua frente para saber o que realmente espera no final.
Os analistas da LevelBlue documentaram uma campanha do Tycoon2FA construída exatamente assim: uma isca de solicitação de documento se passando pela Microsoft, com uma URL final que ultrapassava 1.200 caracteres depois de passar por cinco camadas consecutivas de reescrita, Libraesva, Sophos, Inky, EdgePilot e Barracuda, antes de pousar em um site comprometido que hospedava a página de roubo de credenciais. Outra cadeia distinta examinada pelos pesquisadores tinha seis redirecionamentos de profundidade em quatro fornecedores, Cisco, Trend Micro, Barracuda e EdgePilot. Nenhuma das duas cadeias contém um domínio que pareça suspeito por si só. Esse é exatamente o design.
Por que isso escalou no final de 2025
Os pesquisadores rastrearam a mudança do abuso de reescrita em uma única camada para cadeias multi-fornecedor deliberadamente projetadas, escalando ao longo do segundo, terceiro e quarto trimestres de 2025, com pico em janeiro de 2026. A tática agora é um recurso padrão dentro de kits de phishing-as-a-service, incluindo Tycoon2FA e Sneaky2FA, que empacotam o roubo de credenciais e cookies de sessão via adversário no meio por trás dessas cadeias, o que significa que a técnica não exige mais um operador habilidoso para ser construída. Ela é entregue pré-configurada a afiliados que compram acesso ao kit.
Por que o DMARC não tem nada a dizer aqui
O DMARC, junto com SPF e DKIM, responde a uma única pergunta: se o domínio no cabeçalho From da mensagem está autorizado a enviá-la. Um e-mail de phishing com um link reescrito em cinco camadas pode falhar nessa verificação, passar nela, ou nunca sequer acioná-la, e a resposta não tem nenhuma relação com a cadeia de redirecionamento presente no corpo da mensagem. A autenticação avalia o envelope. Ela não tem visibilidade sobre o que uma URL faz depois que a mensagem é aceita, nem nenhum mecanismo para reconstruir uma cadeia de redirecionamento construída inteiramente com domínios que são, individualmente, exatamente tão confiáveis quanto afirmam ser. Isso não é uma falha no DMARC. É uma categoria de ataque que o DMARC nunca foi projetado para enxergar, situada rio abaixo de qualquer verificação de autenticação que um servidor receptor possa executar.
O que isso significa para o seu programa
Não presuma que um link reescrito é um link verificado. Uma URL encapsulada pelo seu próprio gateway prova que aquele fornecedor avaliou o próximo salto da cadeia. Não diz nada sobre o que existe três ou quatro saltos mais adiante.
Fique atento a links de origem interna chegando em e-mails com aparência de saída. A técnica frequentemente começa com uma caixa de entrada comprometida enviando um link malicioso para si mesma ou para um colega especificamente para que ele seja reescrito e se torne confiável antes de ser reutilizado externamente. Correio interno incomum contendo links merece ser sinalizado por si só.
Não confie no veredito de um único gateway como palavra final. Se o e-mail da sua organização pode passar por mais de uma camada de filtragem, trate um veredito limpo de uma delas como informativo, não conclusivo, especialmente em mensagens com URLs incomumente longas ou codificadas várias vezes.
Mantenha a aplicação do DMARC no lugar, mas planeje para o que ele não cobre. Uma política estrita com p=reject ainda fecha a porta para a falsificação de domínio. Ela nunca iria fechar esta outra, e nenhuma mudança de configuração no seu registro DMARC vai mudar isso.
Treine os usuários para desconfiar do comprimento do link e da quantidade de redirecionamentos, não apenas do domínio visível. Uma URL que ultrapassa mil caracteres passando por cinco subdomínios de fornecedores é um sinal mais forte do que a maioria dos nomes de marca em um campo de nome de exibição.
A conclusão
A reescrita de URLs foi criada para adicionar uma camada de confiança entre um link e a pessoa que clica nele. Os atacantes descobriram que essa confiança pode ser lavada da mesma forma que dinheiro, passando por mãos legítimas o suficiente até que sua origem deixe de importar. O DMARC, o SPF e o DKIM continuam cumprindo seu papel em cada uma dessas campanhas, confirmando ou negando quem enviou a mensagem. Esse papel nunca iria se estender ao que a mensagem enlaça, e a cadeia de redirecionamento que os pesquisadores estão encontrando agora, com cinco e seis camadas de profundidade entre os maiores nomes da segurança de e-mail, é a prova de que a lacuna entre autenticar um remetente e verificar um destino é exatamente para onde um atacante bem equipado vai olhar em seguida.
A Excello Mail oferece visibilidade contínua sobre seus relatórios DMARC, para que você possa ver exatamente quais fontes estão se autenticando sob o seu domínio, mesmo enquanto os atacantes constroem o próximo movimento em torno das partes de uma mensagem que o DMARC nunca foi projetado para inspecionar. Cadastre-se gratuitamente na Excello Mail e respalde com monitoramento real a camada de autenticação que você realmente controla.