O Escritório Federal de Segurança da Informação da Alemanha, a BSI, publicou na quarta-feira, 7 de outubro de 2026, um estudo conjunto com a Associação de Agências de Inspeção Técnica, a TUV, e sua mensagem é direta. As empresas alemãs são vulneráveis e estão despreparadas para uma onda crescente de ataques cibernéticos impulsionados por IA, e a exposição já é ampla o suficiente para o vice-presidente da BSI, Thomas Caspers, descrever a IA como algo com “consequências imediatas e estratégicas para a segurança nacional”.
O estudo ouviu cerca de 500 empresas com pelo menos 20 funcionários. Os números descrevem uma ameaça que já chegou. Uma em cada seis empresas relatou ter sofrido “um ataque cibernético ou tentativa de fraude em que a IA teve, ou poderia ter tido, um papel” nos últimos doze meses. Apenas uma em cada dez tem procedimentos específicos para lidar com incidentes de segurança relacionados à IA. Quarenta e três por cento confiam em seus processos gerais de segurança de TI sem tê-los complementado com diretrizes específicas para IA, e 71 por cento admitem estar mal informadas sobre as obrigações que a Lei de IA da União Europeia lhes impõe.
O vetor número um ainda é o e-mail
O estudo identifica o método de ataque mais comum: e-mails de phishing gerados por IA descritos como “altamente convincentes e adaptados com precisão a indivíduos ou empresas específicas”. Em seguida vêm scripts de ataque automatizados que examinam sozinhos vulnerabilidades de segurança de TI e se adaptam dinamicamente a elas. O terceiro problema crescente são os deepfakes, áudio ou vídeo manipulados que imitam as vozes de executivos da empresa para enganar funcionários e fazê-los aprovar transferências fraudulentas.
Leia essa lista de novo. A principal ameaça e a terceira convergem no mesmo ponto fraco: a confiança que um destinatário coloca em uma mensagem que parece ter vindo de alguém legítimo. Os modelos generativos derrubaram o custo de escrever uma isca convincente e personalizada. O que antes era um e-mail cheio de erros de gramática disparado para milhões agora é uma mensagem fluente e bem pesquisada dirigida a um único gerente de compras, e o filtro humano tradicional de detectar má redação desapareceu.
É exatamente ali que a autenticação de domínio ganha seu valor. DMARC com uma política aplicada não se importa com quão bem escrita está a isca. Se a mensagem afirma vir do domínio do seu CEO e falha no alinhamento de SPF ou DKIM, uma política p=reject a interrompe antes que qualquer humano a leia. A aplicação da política tira de cena a forma mais barata de impersonação, o spoofing do seu domínio exato, e empurra os atacantes para domínios parecidos que são mais fáceis de detectar, mais difíceis de colocar na caixa de entrada e muito mais visíveis nos relatórios agregados de DMARC.
Como é uma empresa preparada
A lacuna que a BSI e a TUV descrevem é tanto procedimental quanto técnica. Apenas uma em cada dez empresas tem um manual de incidentes específico para IA, mas uma em cada seis já está sendo atacada. Fechar essa lacuna não exige ferramentas exóticas. Exige os fundamentos chatos aplicados por completo:
Aplique DMARC em p=reject em todos os seus domínios. Monitorar com p=none observa os ataques, mas não os impede. Meias medidas geram relatórios sem proteção.
Monitore os relatórios agregados continuamente. Quando surge uma nova fonte de envio para o seu domínio, ou os resultados de autenticação mudam, essa é a camada de telemetria onde as campanhas impulsionadas por IA aparecem primeiro.
Prepare-se para o fraude de voz com deepfakes com controles de processo, não apenas conscientização. Qualquer pedido de movimentação de dinheiro que chegue por voz deve exigir confirmação por um canal independente. O estudo observa que esse padrão foi desenhado para explorar justamente os funcionários que lidam com transferências.
Feche a lacuna de conhecimento sobre a Lei de IA. Setenta e um por cento das empresas dizem estar mal informadas sobre obrigações que já têm sob uma lei adotada em 2024. Os domínios de envio fazem parte dessa superfície de conformidade, especialmente quando a IA é usada para gerar conteúdo de marketing.
A conclusão
O estudo da BSI e da TUV é um alerta sobre a Alemanha, mas o padrão que documenta é global. A IA barateou o phishing personalizado, os ataques chegam de forma esmagadora por e-mail, e a maioria das organizações roda processos gerais de segurança de TI contra um adversário que já não se parece com aquele para o qual esses processos foram desenhados. DMARC aplicado, alinhamento limpo de SPF e DKIM, e alguém que realmente leia os relatórios agregados são a base mínima. Construa esse chão primeiro e trabalhe para cima.
Cada tentativa de phishing contra o seu domínio deixa um rastro nos seus dados de autenticação. O Excello Mail transforma seus sinais de DMARC, SPF e DKIM em uma visão ao vivo de quem está enviando em seu nome, para que campanhas criadas com IA apareçam no momento em que começam. Cadastre-se gratuitamente no Excello Mail e veja o que o seu domínio está dizendo ao mundo.