Na sexta-feira, 17 de outubro de 2026, atacantes desconhecidos obtiveram acesso a uma conta de e-mail da associação distrital da CDU em Heilbronn, na Alemanha. A partir dessa conta genuína, eles lançaram uma campanha de phishing para cerca de 6.500 contatos, e a lista de destinatários chegou ao topo do Estado alemão: ministérios federais, outros contatos políticos e o próprio chanceler Friedrich Merz receberam a mensagem fraudulenta.
A polícia de Heilbronn está investigando. Um porta-voz disse à Agência de Imprensa Alemã que, segundo os primeiros levantamentos, o e-mail foi para aproximadamente 6.500 contatos, muitos deles em áreas relevantes para a segurança, e que se sabe que mensagens chegaram ao chanceler.
Uma conta real, um convite falso
O e-mail de phishing foi montado como um convite para um evento com convidados ilustres e continha um link. Segundo a polícia, a hipótese de trabalho é uma tentativa de phishing, o esquema clássico em que criminosos tentam levar as vítimas a entregar dados sensíveis como senhas ou dados bancários. A própria Agência de Imprensa Alemã estava entre os destinatários, assim como a polícia de Heilbronn.
A associação distrital respondeu contratando uma empresa de segurança da informação para avisar os contatos afetados e alertá-los para não reagir às mensagens nem abrir links ou anexos. Os investigadores ainda não explicaram como os atacantes obtiveram acesso à conta, e nenhum detalhe sobre o conteúdo por trás do link do convite foi divulgado.
Por que esse ataque passa direto pelo DMARC
Para quem trabalha com autenticação de e-mail, este caso é um lembrete desconfortável, mas importante. SPF, DKIM e DMARC respondem a uma pergunta estreita: esta mensagem realmente vem do domínio que afirma vir, e o dono do domínio está disposto a responder por ela?
Uma mensagem enviada de uma caixa postal genuinamente comprometida vem do domínio real, em infraestrutura real, muitas vezes assinada com chaves DKIM reais. Todas as verificações de autenticação passam, porque do ponto de vista do protocolo nada foi falsificado. O ataque não falsifica a CDU. É a conta da CDU, sequestrada.
É justamente por isso que a indústria de segurança repete que o DMARC é um alicerce e não uma fortaleza. A aplicação na política “reject” impede que estranhos falsifiquem o seu domínio, e isso importa enormemente, porque a falsificação com domínios parecidos continua sendo um dos ataques mais baratos do e-mail. Mas ela não faz nada contra um atacante que entra numa caixa postal legítima e envia a partir dela.
O que realmente ajuda quando a arma é a conta
As defesas que tocam esse cenário são outras. A autenticação multifator, em especial os métodos resistentes a phishing como passkeys ou chaves de hardware, eleva o custo do sequestro inicial. Políticas de acesso condicional que sinalizam logins de locais ou dispositivos incomuns podem pegar a invasão cedo. E provedores que detectam uma rajada súbita de volume de saída, milhares de mensagens em minutos para uma agenda que abrange ministérios, podem frear a disparada antes que ela termine.
O DMARC ainda merece seu lugar nesse quadro. Primeiro, sem aplicação, os mesmos atacantes poderiam ter evitado o trabalho de sequestrar qualquer coisa e simplesmente falsificar o domínio da CDU de fora, um caminho ainda mais barato. Segundo, os relatórios agregados de DMARC são uma ferramenta de visibilidade: uma mudança repentina nos padrões de envio, fontes novas ou um volume incomum do seu próprio domínio é exatamente o tipo de anomalia que os relatórios revelam cedo.
O conjunto de alvos políticos se repete
As autoridades alemãs avisam há anos que organizações políticas são alvos prioritários de phishing. Na primavera, um ataque de phishing em larga escala correu pelo mensageiro Signal e visou políticos, militares, diplomatas e jornalistas de investigação, e o BSI e a inteligência alemã o atribuíram provavelmente a atores estatais. Se o incidente de sexta-feira em Heilbronn tem alguma ligação com esses atores, não se sabe; a polícia não fez nenhuma atribuição e nenhuma deve ser presumida.
O que se sabe é a fraqueza estrutural que o caso expõe. Uma associação distrital, um escritório político de porte médio com uma agenda cheia de endereços governamentais, tinha as chaves de caixas postais de todo o governo federal. Uma única conta comprometida bastou para colocar um link manipulado na frente de 6.500 delas numa só tarde.
A autenticação comprova o domínio, não o humano por trás dele. O phishing de conta sequestrada como o caso de Heilbronn passa por todas as verificações de DMARC, mas a camada de relatórios ainda dá visibilidade precoce de envios anômalos do seu próprio domínio, enquanto a aplicação impede que falsificadores externos imitem você do jeito barato. Cadastre-se gratuitamente no Excello Mail e tenha essa visibilidade antes do seu próximo alerta vir da polícia.