Em 4 de outubro de 2026, o grupo de mídia japonês Nikkei divulgou duas violações distintas de contas de e-mail de funcionários, incidentes que parecem uma demonstração controlada do problema mais difícil da segurança de e-mail hoje. Um atacante obteve acesso a uma caixa de correio real do Microsoft 365 e, em 30 de setembro, a usou para enviar aproximadamente 9,000 e-mails de phishing contendo links para sites maliciosos. Os destinatários não eram estranhos. Eram funcionários da Nikkei e entrevistados com quem os jornalistas da empresa haviam estado em contato, exatamente as pessoas com maior probabilidade de confiar em uma mensagem de um endereço da Nikkei.
A divulgação, noticiada por BleepingComputer, The Record e Infosecurity Magazine, também cobriu um segundo incidente anterior. Uma conta do Google Workspace de outro funcionário foi acessada desde o final de julho de 2026. A Nikkei soube dessa intrusão no início de agosto após uma notificação do Google e alterou a senha da conta, mas a empresa disse que a exposição pode ter incluído nomes e endereços de e-mail de 1,646 pessoas, principalmente funcionários e parceiros de negócios. A Nikkei relatou os incidentes à Comissão de Proteção de Informações Pessoais do Japão, não os atribuiu a nenhum ator específico e não confirmou se as duas intrusões estão conectadas.
O detalhe que deveria parar qualquer administrador de e-mail
A onda de phishing de 30 de setembro não foi spoofing no sentido clássico. Ninguém forjou um cabeçalho De nem tentou burlar SPF ou DKIM. As mensagens foram enviadas por uma conta genuína do Microsoft 365 da Nikkei, o que significa que estavam assinadas e alinhadas com o próprio domínio da empresa. SPF passou. DKIM passou. DMARC passou. Cada sinal de autenticação que um provedor de caixa de correio receptor verifica estava verde, porque do ponto de vista do protocolo, isso era e-mail legítimo da Nikkei.
É isso que torna o phishing lateral a partir de uma caixa de correio comprometida tão perigoso. A autenticação prova que a mensagem veio do domínio na linha De. Não diz nada sobre se a pessoa que controla a caixa postal é quem deveria controlá-la. A Nikkei contatou os destinatários e pediu que apagassem as mensagens, mas a empresa também alertou que nomes, endereços de e-mail e partes dos corpos das mensagens dos destinatários podem ter vazado. A editora irmã Nikkei BP divulgou que um de seus próprios funcionários perdeu credenciais em 30 de setembro para um e-mail de phishing enviado do endereço de um funcionário da Nikkei, expondo potencialmente outros 26 nomes e endereços de e-mail. Uma caixa postal comprometida gerou o próximo comprometimento em questão de dias, exatamente a reação em cadeia em que os atacantes de comprometimento de e-mail corporativo confiam.
O que o DMARC pode e não pode fazer aqui
É tentador ler esta história como prova de que o DMARC não importa, porque uma política totalmente aplicada em p=reject não teria bloqueado nenhuma dessas 9,000 mensagens. Essa leitura está errada de uma forma específica e importante.
O que o DMARC não pode fazer é autenticar pessoas. Ele autentica domínios. Quando um atacante controla uma caixa postal real dentro do seu tenant, o e-mail que essa caixa produz é seu, e nenhuma política no DNS muda isso. As defesas que importam nesse cenário são controles de identidade: MFA resistente a phishing, políticas de acesso condicional, revogação de sessões, detecção de regras de caixa de entrada e encaminhamento suspeitos, e monitoramento de concessões OAuth. O incidente da Nikkei é um lembrete para financiar esses controles, não para pular a autenticação.
O que o DMARC e seus relatórios ainda fazem por você em um evento de phishing lateral é duplo. Primeiro, a aplicação fecha o caminho de ataque mais barato que existe ao lado deste. Atacantes que não conseguem entrar em uma caixa postal recorrem a domínios parecidos e ao spoofing exato do domínio, e essas tentativas são exatamente o que uma política p=reject e seus relatórios agregados expõem desde a primeira mensagem. Segundo, o monitoramento contínuo dos relatórios lhe dá um inventário ao vivo de cada fonte que envia em nome do seu domínio. Quando uma equipe de segurança investiga uma possível tomada de conta, a primeira pergunta que importa é se os padrões de envio dessa caixa postal são normais. Equipes que leem seus relatórios de DMARC diariamente sabem como é o normal para cada fonte legítima, e é assim que anomalias como uma rajada repentina de 9,000 mensagens de um único usuário aparecem rápido.
O paradoxo do jornalista
Há um ângulo setorial que vale nomear. Organizações de notícia funcionam sobre o contato com pessoas que têm todas as razões para esperar privacidade: fontes, denunciantes, entrevistados. A Nikkei disse que os destinatários da onda de phishing incluíam pessoas com quem seus jornalistas haviam estado em contato, e que nomes, endereços de e-mail e partes de corpos de mensagens podem ter vazado. Para uma empresa de mídia, o comprometimento de uma caixa postal não é apenas um incidente de segurança, é um incidente de proteção de fontes. O mesmo vale para escritórios de advocacia, provedores de saúde e assessores financeiros, todos guardam correspondência cuja exposição prejudica terceiros mais do que a própria empresa.
Isso eleva a aposta do trabalho discreto da autenticação de e-mail. Simulações internas de phishing, educação dos funcionários sobre roubo de credenciais e políticas rígidas do tenant sobre encaminhamento de e-mail fazem parte do programa de proteção de fontes, não apenas do programa de segurança.
O que levar desta história
A divulgação da Nikkei é o exemplo recente mais claro de que a autenticação é o piso, não o teto. Uma caixa postal sequestrada transforma a sua própria e boa postura de autenticação em um ativo para o atacante, e nada em SPF, DKIM ou DMARC muda isso. Mas a resposta não é tratar a autenticação de domínio como um assunto resolvido e irrelevante. A resposta é tratá-la como a camada base que elimina o spoofing, mantém seus relatórios agregados cheios de verdade fundamental sobre quem envia em seu nome, e libera a atenção da sua equipe para os problemas mais difíceis: identidade, sessões e comportamento dentro do tenant.
Toda caixa postal comprometida está cercada de sinais, desde volumes de envio anômalos até fontes desconhecidas nos seus dados de autenticação. O Excello Mail transforma seus relatórios de DMARC, SPF e DKIM em uma visão ao vivo de tudo que envia em nome do seu domínio, para que você conheça sua linha de base legítima e detecte o que a rompe. Cadastre-se gratuitamente no Excello Mail e veja quem realmente fala em nome do seu domínio.