A maioria dos conselhos antiphishing pede ao destinatário que verifique duas coisas antes de clicar: quem enviou a mensagem e para qual domínio o link aponta. Uma campanha descrita pela Kaspersky em 8 de outubro de 2026 derrota as duas verificações ao mesmo tempo, porque os e-mails realmente vêm da Microsoft e os links realmente apontam para a Microsoft. As soluções da Kaspersky bloquearam mais de 31.000 dessas mensagens entre 1º de agosto e 18 de setembro de 2026, e a empresa observa que esse padrão de abuso está se repetindo em vez de desaparecer.
A primeira técnica: um registro de aplicação com um redirect envenenado
Os atacantes começam criando uma conta Microsoft e entrando no centro de administração do Microsoft Entra. Na seção de registro de aplicações criam uma nova aplicação e, no campo redirect URI, o endereço para onde o servidor de autenticação do Microsoft Entra envia o usuário após um login bem-sucedido, inserem um link para o próprio site malicioso. Em seguida enviam e-mails com links de redirecionamento da Microsoft que carregam o ID da aplicação registrada e o redirect URI escolhido pelo atacante.
O resultado é um link que começa em um domínio genuíno da Microsoft, passa por um fluxo de autenticação real e termina em uma página criminosa que rouba credenciais ou entrega malware. As iscas são das mais comuns: mensagens que fingem ser comunicações oficiais da Microsoft pressionando o destinatário a atualizar as credenciais do serviço ou assinar documentos eletrônicos.
A segunda técnica: e-mails de verificação com texto do atacante
A Kaspersky descreve um segundo abuso igualmente simples. Os golpistas criam contas de usuário falsas e adicionam o endereço real da vítima como contato de backup no portal Microsoft My Account. A Microsoft então envia à vítima um e-mail de verificação genuíno e não solicitado. Como o campo do nome da conta ou da organização aceita texto livre, os atacantes escrevem ali sua mensagem fraudulenta, que aparece no assunto e na assinatura de um e-mail que realmente foi enviado pela Microsoft.
Todas as verificações técnicas passam. O remetente é real, o código de verificação é real, e apenas o texto que os atacantes digitaram em um campo de nome é falso. A Kaspersky não descreve nenhuma falha de software na plataforma da Microsoft, e a cobertura dos achados enfatiza que se trata de um recurso de identidade padrão usado exatamente como projetado, apenas com propósito malicioso.
Por que o DMARC não consegue interceptar isso, e por que ainda é necessário
Aqui está a parte desconfortável para quem trata a autenticação de e-mail como uma solução antiphishing completa. Essas mensagens se originam na própria infraestrutura da Microsoft e passam SPF, DKIM e DMARC sem nenhuma falsificação. O DMARC responde a uma única pergunta: a mensagem realmente veio do domínio que está no campo From? Ele não diz nada sobre se a intenção do remetente é honesta. Andrey Kovtun, gerente do grupo de proteção contra ameaças de e-mail da Kaspersky, resume bem: não é a primeira vez que links e mensagens fraudulentos são enviados por serviços oficiais, o que adiciona uma camada perigosa de credibilidade e torna o golpe mais difícil de perceber.
Isso não torna o DMARC menos necessário. Os ataques que o DMARC realmente detém, a falsificação direta do seu domínio por terceiros, continuam sendo uma das formas mais comuns de fraude por e-mail, e a aplicação com políticas de quarentena ou rejeição continua sendo a única defesa confiável contra eles. A leitura correta desta campanha é uma divisão de trabalho: o DMARC garante que o e-mail que afirma vir do seu domínio realmente vem do seu domínio, e o julgamento humano junto com a segurança em camadas precisa cuidar do e-mail que legítimamente vem das grandes plataformas.
O que fazer a respeito
Para defensores e remetentes, as conclusões práticas são diretas. Trate com suspeita qualquer e-mail pedindo para atualizar credenciais ou assinar um documento, mesmo que o domínio do link pareça legítimo, porque um domínio confiável diz onde um link começa, não onde ele termina. Para as equipes de segurança, o abuso de registros de aplicações do Entra e dos fluxos de recuperação de conta é um lembrete para monitorar a atividade do tenant. E para toda organização que envia e-mail, a campanha é um motivo para reforçar o que você controla: publique DMARC em todos os seus domínios, leia seus relatórios agregados e aplique sua política, para que a sua marca nunca seja a identidade falsificada na campanha de phishing de outra pessoa.
A autenticação diz aos destinatários quem realmente fala em nome do seu domínio. O Excello Mail transforma seus relatórios de DMARC, SPF e DKIM em uma imagem clara de todos os serviços que enviam em nome dos seus domínios, para que você aplique sua política com confiança. Cadastre-se gratuitamente no Excello Mail e garanta que seu domínio nunca seja a opção fácil para golpistas.