Entre abril e julho de 2026, a KnowBe4 ThreatLabs adicionou 1.660 domínios terminados em .vu, a extensão de código de país de Vanuatu, à sua lista negra global de phishing. Isso é um salto de 159,6% em relação ao período anterior, ligado a 28.167 e-mails de phishing direcionados aos setores de Educação, Manufatura, Governo e Financeiro, majoritariamente nos Estados Unidos. O número que merece atenção não é a taxa de crescimento. É este: 99,9% desses domínios .vu maliciosos apareceram dentro do corpo de um e-mail, em um link, nunca como o endereço de onde a mensagem dizia vir.
Um Registro Feito Para Velocidade, Não Para Escrutínio
O registro .vu de Vanuatu não exige nenhum dos atritos que freiam o abuso em outros lugares. Sem verificação de identidade rigorosa, preços por volume para comprar domínios aos montes, e privacidade WHOIS padrão que esconde quem registrou o quê. A KnowBe4 descobriu que o domínio .vu médio nessas campanhas durava cerca de 20 dias, do registro ao abandono, tempo suficiente para disparar uma onda de e-mails e curto o bastante para desaparecer antes que a maioria das listas negras conseguisse alcançá-lo. Como os fornecedores de segurança historicamente viram pouquíssimo tráfego legítimo em .vu, a extensão não carregava nenhum sinal de reputação embutido em qualquer direção. Ela era simplesmente invisível, e invisível é exatamente o que um domínio de phishing descartável precisa ser.
O Kit Por Trás dos Domínios
As impressões técnicas em toda a infraestrutura .vu apontam para o Sneaky2FA, um kit de phishing adversary-in-the-middle que não tenta adivinhar uma senha. Ele faz proxy da sessão de login inteira em tempo real: a vítima digita suas credenciais reais em uma página que as encaminha ao vivo para o serviço real, completa seu próprio desafio de autenticação multifator exatamente como faria em qualquer dia normal, e o kit captura o token de sessão autenticada no instante em que ele retorna. Da perspectiva do dono da conta, nada pareceu errado, porque nada no login em si era falso. Só a página que o retransmitia era.
Por Que o DMARC Nunca Esteve em Posição de Ajudar
DMARC, SPF e DKIM respondem a uma única pergunta, e apenas uma: esta mensagem está autorizada a reivindicar o domínio remetente em seu cabeçalho From? Nenhuma dessas campanhas precisava responder essa pergunta de forma desonesta, porque nenhuma delas colocou um endereço .vu no campo From. O e-mail em si geralmente chegava de um domínio com autenticação limpa e alinhada, às vezes uma caixa de entrada comprometida, às vezes um domínio parecido recém-registrado que passava em suas próprias verificações honestamente. O domínio .vu só aparecia vários passos depois, como um link que o destinatário era convidado a clicar. O DMARC avalia o envelope. Ele não tem nenhum mecanismo para avaliar uma URL dentro do corpo da mensagem, e nunca foi projetado para isso.
Esse é um tipo de falha diferente de um remetente falsificado ou uma conta sequestrada, o formato de problema que este blog cobre constantemente. Aqui, a autenticação nunca foi sequer relevante desde o início, porque a parte da mensagem que importava, o destino que a vítima realmente alcançava, está inteiramente fora do que o DMARC foi construído para inspecionar. A filtragem baseada em remetente, seja o DMARC ou a lista de reputação de domínio de um gateway de e-mail, é estruturalmente cega a uma ameaça que nunca alega ser o remetente.
O Que Isso Significa Para o Seu Programa
Autenticação de domínio e inspeção de links são dois trabalhos diferentes, e nenhum cobre o outro. O DMARC diz se uma mensagem representa honestamente seu domínio remetente. Não diz nada sobre para onde qualquer link dentro dessa mensagem honesta aponta. Um programa de segurança que trata a aplicação do DMARC como proteção completa cobriu exatamente um ponto de entrada entre vários.
TLDs de código de país com controles de registro fracos merecem sua própria camada de escrutínio, separada da reputação do remetente. Um filtro de URL ou gateway de e-mail seguro que só pondera o histórico de reputação do domínio remetente vai deixar passar infraestrutura como essa por design. Procure filtragem que avalie os destinos dos links contra o risco em nível de TLD, não apenas o domínio no cabeçalho From.
Um método de login resistente a phishing é o controle que realmente para o Sneaky2FA, porque continua funcionando mesmo depois de um clique. Kits AiTM têm sucesso retransmitindo uma sessão ao vivo; uma chave de segurança FIDO2 ou uma passkey de plataforma não produz um token que o kit possa roubar em trânsito da forma como uma senha digitada e um código OTP permitem. Onde a MFA ainda depende de um código que o usuário digita, essa classe de ataque continua funcionando não importa quão limpa pareça sua autenticação de e-mail.
Domínios de vida curta precisam de confiança de vida curta. Um domínio registrado há 20 dias carregando volume crítico de negócio não é um padrão normal para a maioria dos fornecedores legítimos de uma organização. Sinalizar domínios recém-registrados em links, independentemente de o domínio remetente ter passado no DMARC, captura exatamente a brecha que esta campanha foi construída para explorar.
A Conclusão
Nenhum dos e-mails que carregavam essas 28.167 mensagens precisava quebrar DMARC, SPF ou DKIM, porque nenhum deles fez a essas verificações uma pergunta que elas foram construídas para responder. O aumento do .vu é um lembrete de que a autenticação de e-mail protege a identidade do remetente, não a segurança de cada destino para o qual uma mensagem pode apontar. Um domínio com um registro DMARC limpo ainda pode entregar um link para uma infraestrutura construída e abandonada em vinte dias, e os dois fatos não têm nenhuma relação entre si.
O DMARC confirma quem enviou uma mensagem. Ele nunca foi feito para dizer para onde cada link dentro dela leva. A Excello Mail oferece visibilidade contínua e em linguagem clara sobre a postura de autenticação do seu domínio, para que você possa ver claramente o que o DMARC realmente cobre e construir o restante da sua defesa em torno do que ele não cobre. Cadastre-se gratuitamente na Excello Mail e tenha hoje uma visão clara da sua cobertura real de autenticação.