Os relatórios agregados do DMARC foram construídos sobre uma ideia simples: publique um endereço rua= no seu DNS, e provedores de e-mail do mundo todo vão enviar um resumo diário de quem está enviando mensagens em nome do seu domínio. A maior parte da cobertura deste blog foca no lado do envio dessa equação, os domínios que simulam conformidade com DMARC para passar phishing por um filtro. O pesquisador SH Consulting acabou de publicar um caso que inverte completamente o problema. A vulnerabilidade não está em quem envia o e-mail. Está em quem acaba lendo os relatórios sobre esse envio, anos depois de a organização que escolheu aquele destino ter parado de prestar atenção.
Um Domínio Que Qualquer Um Podia Comprar Ainda Era o Endereço de Relatórios de Todo Mundo
O pesquisador registrou gca-emailauth.org em 20 de novembro de 2025, após perceber que o nome havia vencido. O histórico do domínio remontava a 9 de setembro de 2019, quando foi registrado pela primeira vez pela Name.com com DNS no Cloudflare, mantido até 2023, e depois retomado por um registrante diferente entre junho de 2024 e 2025, também no Cloudflare, antes de ficar disponível publicamente. Assim que o pesquisador passou a controlá-lo, configurou uma caixa de entrada e simplesmente esperou para ver o que chegava. O que chegou foram relatórios agregados de DMARC, endereçados a [email protected], vindos de 86 domínios distintos pertencentes a mais de vinte organizações. A lista incluía um fabricante listado na NYSE com receita anual de aproximadamente 4,5 bilhões de dólares, uma universidade pública, uma escola pública residencial de ciências e tecnologia, uma agência de educação regional que atende 35.000 crianças, um distrito escolar público, um conselho municipal de deficiências do desenvolvimento, uma empresa saudita de serviços financeiros e dois governos municipais dos Estados Unidos. Nenhuma delas tinha feito nada de errado. Anos antes, alguém em cada organização havia seguido uma orientação, apontado sua tag rua= para aquele endereço, e nunca mais revisitado essa decisão.
O Registro Coringa Que Piorou Tudo
O DMARC moderno inclui uma salvaguarda pensada exatamente para esse tipo de arranjo, a Verificação de Destino Externo (EDV), que exige que o domínio de destino publique um registro TXT em <dominio-da-politica>._report._dmarc.<dominio-de-destino> confirmando que consente em receber relatórios de outro domínio. O pesquisador descobriu que o registrante anterior, ou possivelmente o original, havia publicado uma versão coringa desse registro, *._report._dmarc.gca-emailauth.org, que autoriza a entrega de relatórios de qualquer domínio da internet em vez de uma lista específica e enumerada. Os 86 domínios dos quais o pesquisador realmente recebeu e-mails são simplesmente os que enviaram algo durante a janela de observação. Espera-se que o EDV confirme que um destino consente com uma relação específica. Um registro coringa não confirma nada além de que quem controla o domínio vai aceitar e-mail de qualquer um, o que é uma garantia bem diferente daquela que o mecanismo foi projetado para oferecer.
Nem Mesmo a História de Origem Se Sustenta
O nome do domínio, que remetia à antiga ferramenta gratuita de configuração de DMARC da Global Cyber Alliance, sugeria uma explicação organizada: um programa sem fins lucrativos encerrou suas atividades, sua orientação continuou apontando para aquele endereço, e ninguém atualizou a documentação. O pesquisador verificou. O chefe de engenharia da GCA confirmou que os servidores de nomes históricos do domínio nunca fizeram parte da própria conta Cloudflare da GCA, o que significa que isso não foi simplesmente um endpoint oficial da GCA que venceu conforme o previsto. De onde realmente veio a orientação que direcionava organizações para esse domínio, e como ela continuou circulando por anos depois que quem quer que o operasse originalmente parou, permanece sem resposta. Essa incerteza é, em si, parte da descoberta. Um destino de relatórios externo pode sobreviver não apenas à atenção do seu operador, mas a qualquer registro claro de quem esse operador já foi.
O Que Isso Significa Para o Seu Programa
Trate cada destino externo rua= e ruf= no seu registro DMARC como uma relação de confiança permanente, não como uma escolha de configuração única. Um domínio para o qual você apontou seus relatórios em 2019 não é a mesma relação em 2026, a menos que você tenha verificado.
Audite os endereços de relatórios do seu registro DMARC em um calendário recorrente, não apenas quando algo quebra. Se algum destino for um domínio de terceiros em vez de um que você controla, confirme quem é o dono atual e por que sua organização ainda confia nele.
Não presuma que a Verificação de Destino Externo prova que o destino é confiável. Um registro EDV coringa prova apenas que o domínio aceita e-mail de qualquer um que alegue ter uma relação, o que é quase o oposto da salvaguarda que o mecanismo pretende oferecer.
Quando um fornecedor, consultor ou ferramenta sem fins lucrativos recomendar um endereço de relatórios de terceiros, documente a origem dessa recomendação e programe um lembrete para revisá-la. Programas terminam, empresas são adquiridas e domínios vencem silenciosamente, mas o registro DNS que direciona sua telemetria de autenticação para eles não se atualiza sozinho.
A Conclusão
Os relatórios agregados de DMARC contêm uma imagem real, ainda que limitada, da própria infraestrutura de envio da sua organização, quais servidores de e-mail alegam enviar em seu nome e como o alinhamento de SPF e DKIM deles se verifica. Esse é exatamente o tipo de dado que um atacante, um concorrente, ou simplesmente um pesquisador curioso gostaria de ler de graça. Oitenta e seis domínios entregaram essa visibilidade a um estranho porque um registro DNS de anos atrás nunca foi revisado, e um registro de verificação coringa significou que o novo dono nem precisou se esforçar para consegui-la. A lição não é que os relatórios de DMARC estejam quebrados. É que uma tag rua= é uma delegação viva de confiança, e como qualquer outra credencial, precisa ser verificada, não apenas configurada uma vez e esquecida.
Seus relatórios agregados de DMARC só são úteis se estiverem indo para um lugar que você realmente controla e realmente lê. A Excello Mail hospeda seu endpoint de relatórios, mantém os dados na sua própria conta e os transforma em uma visão clara e contínua de cada serviço que envia em nome do seu domínio, para que você nunca esteja a um registro DNS vencido de distância de entregar essa visibilidade a outra pessoa. Cadastre-se gratuitamente na Excello Mail e assuma o controle direto de para onde vão os seus dados de DMARC.