A Barracuda Research publicou em 7 de outubro de 2026 um informe de ameaças que muda como devemos ler a frase “o e-mail era destinado a alguém”. Escrito pelo analista de ameaças Guruprasad Kenja, o análise descreve campanhas de phishing em que uma única mensagem carrega dois ataques separados. Uma camada mira o destinatário humano com engenharia social convencional. Outra camada, invisível para a pessoa que lê a mensagem, carrega instruções de injeção de prompt destinadas ao assistente de IA que resume, prioriza e, cada vez mais, age sobre a caixa de entrada.
Os pesquisadores são diretos. Os humanos são atacados com táticas como anexos protegidos por senha, e os assistentes de IA são atacados com injeções de prompt projetadas para influenciar ou anular o comportamento do usuário. As organizações agora precisam proteger não apenas usuários e caixas de entrada, mas também os sistemas de IA que consomem e agem sobre os dados do e-mail.
Como funciona o e-mail de duplo alvo
Na superfície, a mensagem de exemplo analisada pela Barracuda parece correspondência interna comum. Os endereços De e Para coincidem com a mesma caixa postal, a mensagem carrega uma pontuação de confiança de spam confiável e se origina de um domínio do setor público, tudo o que lhe dá legitimidade percebida e a ajuda a passar pelo filtragem baseada em reputação.
A camada visível contém uma mensagem de aparência rotineira com um documento anexo. O anexo é protegido por senha, e a senha é convenientemente fornecida no corpo do e-mail, uma combinação que, segundo a Barracuda, cria um ponto cego para os controles tradicionais de segurança de e-mail, porque anexos criptografados são difíceis de inspecionar. Se o usuário o abrir, o ataque avança para roubo de credenciais ou entrega de malware.
Se o usuário ignorar o e-mail, a segunda camada está esperando. Instruções ocultas podem fazer o assistente de IA apresentar a mensagem como legítima ou urgente no resumo da caixa de entrada, empurrando o humano a abrir o e-mail e clicar afinal. Em outras amostras, o prompt injetado diz ao assistente para ignorar suas direções anteriores e, em vez disso, enviar um pedido urgente de transferência de fundos para uma conta específica, vazar dados ou apresentar uma ação urgente falsa. Nenhuma dessas instruções é visível para o usuário.
Quatro técnicas para esconder instruções dos humanos mas não da IA
A Barracuda identificou quatro técnicas que aparecem com frequência nesses ataques:
Texto oculto em comentários HTML. As instruções ficam dentro de tags de comentário que nunca são renderizadas em um cliente de e-mail, mas permanecem no código-fonte que a IA analisa.
Texto invisível através de estilos CSS. Texto renderizado com tamanho de fonte de zero pixel, em branco ou completamente oculto não ocupa espaço visível, mas continua existindo no documento que o modelo lê.
Dados codificados em Base64. As instruções são enterradas dentro de blocos codificados, como uma string de dados de imagem, que decodificam em texto que um pipeline automatizado pode extrair.
Caracteres de largura zero. Caracteres Unicode invisíveis são misturados com texto normal para introduzir ou ofuscar conteúdo.
Os pesquisadores também documentaram variantes reais além da caixa de entrada: um bloco oculto em um e-mail de fatura instruindo o modelo de resumo a adicionar uma ação prioritária falsa alterando os dados de pagamento do fornecedor, texto oculto em um currículo dizendo a uma ferramenta automatizada de triagem para avaliar o candidato com 10 de 10 independentemente das qualificações, um pedido falso de modo de manutenção enganando um bot de suporte para revelar sua própria configuração, e documentação envenenada em uma página web instruindo um assistente de programação a inserir uma linha de exfiltração de credenciais sempre que gerasse código de autenticação.
Onde o DMARC se encaixa nesse cenário
O detalhe desconfortável na anatomia do e-mail de exemplo da Barracuda é quanta legitimidade aparente ele carregava. Uma pontuação de confiança de spam confiável e um domínio plausível do setor público o levaram além do filtragem baseada em reputação. Essa é exatamente a fraqueza que a autenticação de domínio existe para fechar. Os sistemas de reputação perguntam se o e-mail dessa fonte parece certo. O DMARC faz uma pergunta mais difícil: essa mensagem realmente vem do domínio na linha De, verificada por alinhamento de SPF ou DKIM?
Uma política DMARC aplicada em p=reject não impede uma mensagem enviada de uma caixa postal real comprometida, e a pesquisa da Barracuda mostra que os atacantes cada vez mais partem de infraestrutura genuína. Mas a aplicação remove o movimento inicial mais barato, o domínio exato spoofado que toma emprestada a sua reputação para passar pelo primeiro portão. Todo e-mail de duplo alvo que precisa vir de um domínio parecido se torna mais fácil de detectar, mais provável de ser filtrado antes que o humano ou o assistente de IA o leia, e visível nos seus relatórios agregados desde a primeira mensagem.
Há um segundo benefício, mais silencioso. As defesas recomendadas pela Barracuda incluem tratar conteúdo externo apenas como dados, nunca como instruções, e validar as saídas antes que uma ação de IA seja disparada. Isso só funciona se você souber quais fluxos de e-mail são legitimamente seus. O monitoramento contínuo do DMARC dá a você a verdade fundamental de quem está enviando em nome do seu domínio, de modo que, quando sua equipe revisa o que um assistente de IA recebeu, as fontes de envio nos seus relatórios são conhecidas e contabilizadas.
Como é uma defesa de verdade
A Barracuda é explícita: nenhum controle único impede todas as variações, e recomenda defesas em camadas: sanitização de entrada que remova elementos ocultos, comentários e caracteres invisíveis antes que o conteúdo chegue aos sistemas de IA, detecção de injeção de prompt, sandboxing para limitar o que um assistente pode acessar, validação de saída antes que respostas de IA disparem ações, aprovação humana obrigatória para transações financeiras e alterações de pagamento de fornecedores, e monitoramento para identificar tentativas repetidas de injeção. A mensagem para remetentes e defensores é a mesma. Proteger a caixa de entrada não é mais suficiente, porque os sistemas que leem, resumem e agem sobre o e-mail também precisam de proteção. Comece pela base que nunca para de render: SPF, DKIM e DMARC aplicado em todos os domínios que você possui, com relatórios agregados que alguém realmente leia.
Cada ataque de duplo alvo ainda precisa chegar a uma caixa de entrada, e cada mensagem spoofada deixa um rastro nos seus dados de autenticação. O Excello Mail transforma seus sinais de DMARC, SPF e DKIM em uma visão ao vivo de quem está enviando em seu nome, para que fontes suspeitas apareçam antes de chegar aos seus usuários ou aos assistentes de IA deles. Cadastre-se gratuitamente no Excello Mail e veja o que o seu domínio está dizendo ao mundo.