Em 9 de outubro de 2026, o KnowBe4 Threat Lab publicou uma análise de uma mudança que redefini o que é um e-mail de phishing. Dos 544.000 e-mails de ameaças que a equipe rastreou entre junho e agosto de 2026, 53.000 usavam uma técnica que o KnowBe4 chama de Living Off Trusted Services, ou LOTS. Isso é quase 1 em cada 10 e-mails de ameaças, e nenhum deles precisou de um domínio falsificado, um logotipo copiado ou um endereço de remetente suspeito para chegar à caixa de entrada.
O padrão é simples e barato. O invasor registra uma conta gratuita em uma plataforma SaaS legítima como DocuSign, QuickBooks, Adobe ou Dropbox, cria um documento ou fatura por meio dessa plataforma e deixa que o próprio sistema de notificações da plataforma entregue o e-mail. A mensagem é real em todo sentido técnico. Vem da infraestrutura de envio genuína da plataforma, carrega a marca da plataforma e é exatamente o tipo de alerta automático que um funcionário recebe todos os dias úteis. A única coisa que não é genuína é o link atrás do botão.
Os números por trás da tendência
DocuSign e QuickBooks sozinhos respondem por quase dois terços do volume LOTS rastreado pelo KnowBe4, com iscas de documentos e pagamentos dominando o cenário. O detalhamento mês a mês mostra para onde os invasores estão indo. O DocuSign cresceu todos os meses da janela de três meses, o que os pesquisadores leem como abuso sustentado e não uma campanha passageira. O volume da Adobe cresceu no mesmo período, e o volume do Dropbox quase triplicou.
O Phishing Threat Trends Report Vol. 7 do KnowBe4, lançado em abril de 2026, situou a mudança em nível de indústria em 22% de todos os ataques de phishing enviados por meio de plataformas legítimas, com invasores passando de personificar uma marca para abusar da infraestrutura real dessa marca. Os novos números do Threat Lab são uma fatia mais estreita e específica por plataforma desse mesmo movimento, fortemente concentrada em um punhado de serviços.
O tema de compartilhamento de documentos é a maior isca isolada do phishing em geral, respondendo por 39,2% dos e-mails de phishing rastreados pelo KnowBe4. A maioria dessas iscas de documentos nunca toca infraestrutura real de plataforma. O subconjunto LOTS é menor, mas muito mais perigoso justamente porque toca.
Por que SPF, DKIM e DMARC passam
Esta é a parte com a qual todo administrador de e-mail deveria refletir. Esses e-mails passam pela autenticação do remetente porque a plataforma genuinamente os enviou. Como o KnowBe4 coloca, o e-mail está limpo porque a plataforma o enviou. O DMARC prova que uma mensagem realmente veio do domínio na linha From. Quando um invasor usa uma conta real do DocuSign, a mensagem realmente veio do DocuSign. Cada verificação de autenticidade do remetente retorna verde, e a carga maliciosa fica escondida atrás de um botão que leva para fora da plataforma.
Isso não é uma falha do DMARC. O RFC 7489 deixa claro que o mecanismo DMARC não informa aos receptores se um fluxo de e-mails é bom, e a autenticação nunca foi projetada para julgar a intenção de uma mensagem que uma plataforma confiável enviou legitimamente. O que o LOTS expõe é a fronteira da autenticação de domínio: ela autentica domínios, não pessoas nem propósitos.
O problema das listas de permissão
O KnowBe4 identifica um segundo amplificador que as organizações controlam diretamente. Muitas empresas adicionam remetentes transacionais de alto volume, como as principais plataformas SaaS, a listas de permissão explícitas em seus gateways de e-mail seguro, para que notificações de contratos e faturas nunca caiam no spam. Quando um invasor abusa do nível gratuito de uma plataforma para enviar uma notificação de phishing, essa mensagem herda a mesma via rápida pela lista de permissão. O invasor não paga nada, registra uma conta em minutos e ganha um passe que originalmente foi conquistado por anos de comportamento legítimo de envio.
A mecânica das plataformas adiciona mais atrito para os defensores. As configurações de expiração de links do DocuSign podem fazer a evidência desaparecer antes que um respondedor de incidentes possa revisá-la, e em algumas plataformas documentos maliciosos permanecem ativos por dias antes que uma solicitação de remoção seja processada.
O que acontece depois do clique
No final da cadeia de redirecionamentos, o KnowBe4 observou três desfechos principais: páginas de roubo de credenciais que imitam logins da Microsoft e do Google, phishing de código de dispositivo que engana as vítimas para autorizar sessões controladas pelo invasor, e downloads de instaladores de acesso remoto. Algumas operações de roubo de credenciais funcionam por meio de proxies de adversário no meio que capturam cookies de sessão e derrotam o MFA comum, algo que os pesquisadores observam se manter a menos que métodos resistentes a phishing, como chaves de hardware FIDO2, sejam exigidos.
O que isso significa para o seu programa de DMARC
A resposta correta ao LOTS não é questionar o valor da autenticação, é entender qual camada do problema cada controle resolve. O DMARC em modo de aplicação continua sendo a única forma confiável de eliminar a falsificação exata de domínios e a impregnação de marcas parecidas com a sua, e os relatórios de DMARC continuam sendo seu inventário vivo de tudo que envia como seu domínio. Nenhum desses controles pode deter uma notificação genuína do DocuSign, e nenhum fornecedor honesto afirmará o contrário.
O que você pode fazer é atacar a cadeia LOTS em seus outros elos. Revise as listas de permissão do seu gateway e substitua a confiança geral por políticas que inspecionem o destino atrás dos botões das plataformas. Treine seus usuários para saber que um remetente genuíno não diz nada sobre o pedido dentro da mensagem. Impulsione o MFA resistente a phishing para as contas que os invasores realmente miram com credenciais roubadas. E trate notificações inesperadas de documentos e pagamentos, especialmente as que mencionam QuickBooks ou DocuSign, como a categoria de maior risco no seu programa de conscientização, porque é exatamente ali que vive 1 em cada 10 e-mails de ameaças.
Invasores que se apoiam em plataformas confiáveis deixam rastros diferentes, e seus relatórios de autenticação continuam dizendo quem fala em nome do seu domínio todos os dias. O Excello Mail transforma seus dados de DMARC, SPF e DKIM em uma visão clara do seu cenário de envio, para que a falsificação seja detida na camada de DNS enquanto sua equipe se concentra nos ataques que a autenticação sozinha não consegue parar. Cadastre-se gratuitamente no Excello Mail e veja todo o seu cenário de envio.