O pretexto de phishing mais convincente do último ano não dizia que sua conta estava bloqueada. Perguntava se a sua empresa poderia cotar em um projeto futuro. A equipe de Inteligência e Pesquisa da Fortra, conhecida como FIRE, informou em 15 de outubro de 2026 que os e-mails maliciosos com linguagem de solicitação de cotação aumentaram doze vezes entre outubro de 2025 e setembro de 2026. O resultado mais frequente foi o roubo de credenciais, com quase 73% das iscas de RFQ levando a um site construído para coletar dados de login, e algumas campanhas entregando malware em vez disso.
A estrutura do ataque explica por que ele funciona. A primeira mensagem é deliberadamente curta: pode nomear um gerente de compras ou um representante de empresa, pedir ao destinatário que confirme disponibilidade ou envie uma cotação, e oferecer quase nenhum detalhe sobre o projeto em si. Esse é o comportamento normal de um comprador, e as equipes de vendas e compras respondem a essas mensagens toda semana. Somente depois que o destinatário responde é que o atacante introduz um link externo, descrito como desenhos do projeto, um pacote de RFQ, uma transferência segura de arquivos ou um portal de compras. A página por trás dele imita um login de Microsoft 365, Google Workspace ou semelhante, e dependendo do kit usado também pode tentar capturar aprovações de MFA, senhas de uso único, cookies ou tokens de sessão.
Por que os filtros de reputação sofrem com esta campanha
A análise da FIRE encontrou 664 domínios remetentes distintos na população de mensagens com RFQ. Os pesquisadores acreditam que eles incluem domínios descartáveis, contas de webmail, contas legítimas comprometidas e domínios escolhidos para se parecer com empresas reais. Isso importa para os defensores porque a reputação do remetente e as listas de bloqueio continuam úteis, mas não podem ser a única base de detecção. Um domínio novo que nunca enviou spam não tem reputação ruim, e um mailbox sequestrado de uma empresa real tem uma boa.
A moldagem comercial faz o resto do trabalho. A pesquisadora da Fortra Cadence Riddle observa que o contexto de RFQ pode reduzir a suspeita do destinatário quando ele encontra uma solicitação de login. Um funcionário que espera abrir um documento protegido questiona menos uma página de login, e os atacantes contam com essa expectativa.
No que um mailbox comprometido se transforma
As consequências documentadas na pesquisa vão muito além de uma senha roubada. Um atacante dentro de um mailbox corporativo pode procurar nele informações de clientes, faturas, instruções de pagamento, contatos internos e detalhes de projetos em andamento. A conta pode então ser usada para enviar e-mails de phishing para colegas, clientes e fornecedores que têm todos os motivos para confiar no remetente. O fraude de redirecionamento de pagamentos, a manipulação de faturas e as solicitações de compra fraudulentas estão entre os resultados, junto com o dano reputacional mesmo quando não há perda financeira direta.
Nesse segundo estágio o domínio da própria organização entra na história. O phishing lateral enviado de um mailbox realmente comprometido é e-mail plenamente autenticado. Passa por SPF, DKIM e DMARC porque de fato é o seu tenant, o seu usuário e o seu DNS. Os controles que o detêm são o login resistente a phishing, o acesso condicional e a detecção rápida, não a camada de autenticação em si.
Onde o DMARC ganha seu lugar nesta campanha
O DMARC não pode julgar se a solicitação de cotação de um desconhecido é sincera, e é honesto quanto a esse limite. O que ele faz é fechar duas portas específicas das quais esta campanha depende.
A primeira são os domínios parecidos. A Fortra observou domínios escolhidos para se assemelhar a empresas reais dentro da população de remetentes. Organizações que aplicam DMARC com p=reject em todos os seus domínios, incluindo registros defensivos de nomes parecidos, dificultam que alguém falsifique o seu nome na conversa de compras.
A segunda é a visibilidade. Quando um mailbox é comprometido e começa a escrever para clientes e fornecedores, os relatórios agregados de DMARC mostram novas fontes de envio aparecendo como o seu domínio, um dos sinais mais precoces de que um tenant está sendo abusado. A reputação do remetente não pode alertar sobre a sua própria conta comprometida. Os seus relatórios podem.
O que fazer esta semana
A orientação da Fortra é prática e não exige proibir links para equipes cujo trabalho é abrir documentos de desconhecidos. Verifique compradores em potencial de forma independente, usando informações de contato de um site oficial ou um diretório público de empresas, nunca o telefone ou o link fornecidos na mensagem não solicitada. Não insira credenciais da organização em um site de projeto fornecido por um comprador ou desconhecido, e confirme a plataforma por um canal independente se um pacote exigir login. Sinalize combinações de linguagem de RFQ, domínios remetentes novos ou de baixa reputação, ausência de número de RFQ ou escopo do projeto, e barreiras de login na frente de documentos do projeto. E monitore a sua própria autenticação de saída, porque a ameaça que mais cresce para os seus clientes é uma mensagem enviada do seu próprio mailbox comprometido.
Os pretextos de phishing continuarão tomando emprestados os fluxos de trabalho comerciais legítimos, mas a autenticação permanece a camada que garante que ninguém possa enviar como o seu domínio sem que você saiba. O Excello Mail transforma os seus relatórios de DMARC, SPF e DKIM em uma imagem clara e contínua de cada serviço que envia como os seus domínios, para que você detecte um mailbox comprometido ou um remetente ilegítimo antes dos seus clientes. Cadastre-se gratuitamente no Excello Mail e mantenha o seu domínio fora da cadeia de respostas.