A temporada fiscal pode estar a meses de distância, mas os criminosos que se passam por escritórios contábeis não seguem um calendário sazonal. Um novo estudo de registros DNS públicos mostra que a maioria dos pequenos escritórios fiscais continua totalmente exposta à falsificação de e-mail, e a distância entre o que os escritórios configuraram e o que realmente os protege é enorme.
A plataforma de gestão de investimentos e despesas Hub Software examinou as configurações de e-mail publicamente visíveis de 3.609 escritórios fiscais dos EUA com dois a oito preparadores, extraindo sua amostra da lista pública de PTIN do IRS com um escritório por domínio web. Os resultados foram publicados pelo Accounting Today em 15 de outubro de 2026.
A lacuna de aplicação em números
A primeira camada de proteção é quase universal. O estudo constatou que 97% dos escritórios configuram seu e-mail para verificar se o servidor remetente está autorizado a enviar mensagens do seu domínio por meio de um registro SPF publicado. A adoção de SPF, em outras palavras, está praticamente resolvida.
É no DMARC que tudo desmorona. Cerca de 65% dos escritórios publicam uma política de Domain-based Message Authentication, Reporting and Conformance, que informa aos provedores receptores o que fazer quando as verificações antifalsificação falham. Mas 45% dos escritórios que têm essa política a configuram em “none”, um modo de monitoramento que não bloqueia nada mesmo quando a autenticação falha. Apenas 34% dos escritórios dizem aos seus provedores de e-mail para separar ou recusar mensagens que falsificam seu nome.
Somando tudo, apenas 29% dos escritórios pesquisados estavam plenamente protegidos com SPF, DMARC aplicado e assinatura DKIM. Ou seja, menos de um em cada três pequenos escritórios fiscais impede ativamente que criminosos enviem e-mails que parecem vir do escritório.
Escritórios pequenos e usuários do Google Workspace ficam atrás
O risco cresce com o tamanho, mas não na direção que se imaginaria. Entre os escritórios com dois a três preparadores, apenas 32% bloqueiam ativamente e-mails falsos enviados do seu domínio, contra 42% dos que têm quatro a cinco preparadores e 45% dos que têm seis a oito. Os escritórios menores formaram a maior parte da amostra, 77%, o que significa que a maioria desprotegida é a norma do setor e não a exceção.
A divisão por plataforma é ainda mais marcante. Entre os escritórios que usam Google Workspace, apenas 12% bloqueiam ativamente a impersonação por e-mail. Entre os usuários da Microsoft a cifra é de 37%, e os escritórios com um filtro de segurança prévio chegam a 41%. A diferença sugere que os padrões de configuração e o desenho dos consoles moldam os resultados de segurança mais do que a intenção.
A geografia também varia muito. O Mississippi foi o estado menos protegido, com apenas 15% dos escritórios apresentando SPF, DMARC aplicado e assinatura DKIM, enquanto Iowa liderou o país com 58%.
Por que isso importa mais para escritórios fiscais do que para a maioria das empresas
O endereço de e-mail de um escritório fiscal é uma chave para a confiança dos seus clientes, como o próprio relatório afirma. Se um criminoso puder enviar um e-mail que parece vir do escritório, os clientes abrirão o anexo, clicarão no link ou enviarão os documentos. Escritórios fiscais trocam por e-mail formulários W-2, dados bancários e declarações completas, então uma impersonação bem-sucedida do domínio pode entregar ao atacante exatamente os dados necessários para fraude de restituição e roubo de identidade.
A correção é um caminho conhecido
A remediação descrita no relatório é a jornada padrão do DMARC, e um escritório pequeno pode concluí-la em semanas, e não em meses. Ative a assinatura DKIM no Microsoft 365 ou Google Workspace e publique os registros que a plataforma gera. Publique DMARC em “none” com os relatórios ativados e leia os relatórios agregados por duas a quatro semanas, porque eles mostrarão cada serviço que envia como o escritório, incluindo ferramentas de folha de pagamento, plataformas de assinatura eletrônica e o portal de clientes do software fiscal. Quando todos os remetentes legítimos estiverem cobertos, mova a política para “quarantine” e depois para “reject”. Esse último passo é o que detém o e-mail falso.
A adoção de SPF é quase universal, mas um registro DMARC configurado em “none” deixa a porta aberta para quem quiser enviar como o seu domínio. O Excello Mail transforma os seus relatórios agregados de DMARC em uma imagem clara de cada serviço que envia como você, para que você possa passar do monitoramento à aplicação sem quebrar o e-mail legítimo. Cadastre-se gratuitamente no Excello Mail e feche essa lacuna antes que outro a explore.