Em 20 de outubro de 2026, a AfD, partido de extrema direita alemã, confirmou que hackers invadiram contas de e-mail de membros do partido e roubaram grande quantidade de mensagens. O partido informou que o ataque atingiu um provedor de hospedagem que utiliza e que, em setembro de 2026, um pequeno número de caixas postais, a maioria sem uso havia anos, foi aparentemente copiado de forma ilícita. Segundo reportagem do jornal Bild, que motivou a nota do partido, mais de 421 mil e-mails foram levados, incluindo mensagens enviadas pela colíder do partido Alice Weidel e pelo cofundador Alexander Gauland. A agência federal de cibersegurança da Alemanha, a BSI, disse que está em contato com o partido.
Os atacantes, ou alguém que alega agir com os dados roubados, publicaram um site com resumos das mensagens. A página foi registrada anonimamente em meados de outubro e indica uma sede em Wyoming, nos Estados Unidos. Ela não publica os conteúdos originais, mas oferece resumos gerados por IA que, segundo a AfD, foram produzidos com uma inteligência artificial muito rudimentar e distorceram o contexto dos documentos roubados. A autenticidade dos dados segue sem verificação. O Bild relatou que o material inclui fotos de documentos de identidade de membros do partido, entre eles o do vice-líder da bancada no Bundestag Markus Frohnmaier, além de extratos bancários, faturas, pedidos de filiação e listas de membros de seções locais da AfD na Renânia do Norte-Vestfália.
O que é essa invasão, e o que ela não é
A mecânica importa para qualquer pessoa que administra e-mail em uma organização. Isso não foi spoofing de domínio. Ninguém falsificou a identidade da AfD enviando e-mails que fingiam sair dos domínios do partido. Os atacantes entraram em caixas postais reais, em um provedor externo de hospedagem, e copiaram o que realmente estava lá. Esse é o cenário de pesadelo que SPF, DKIM e DMARC nunca foram projetados para impedir. A autenticação prova que o remetente de uma mensagem pode usar legitimamente um domínio. Ela não diz nada sobre se quem está por trás da conta é um atacante que já tem a senha, ou sobre se a infraestrutura do provedor foi comprometida.
Dois detalhes são especialmente reveladores. Primeiro, as caixas postais comprometidas eram em sua maioria contas dormentes, sem uso havia anos, incluindo um antigo endereço de contato da direção federal do partido. Contas antigas são um ponto cego clássico: continuam recebendo e-mail, continuam guardando anos de histórico sensível, mas ninguém as vigia. Segundo, as caixas postais atuais da federação do partido não foram afetadas. O raio da explosão foi limitado pelo local do ataque, um único provedor, e não por qualquer propriedade da infraestrutura principal de e-mail do partido.
A segunda onda é onde o DMARC mostra seu valor
Um vazamento assim não termina quando os dados são copiados. Ele inicia uma segunda fase, e essa fase é território puro do DMARC. Nos dias seguintes a qualquer vazamento de destaque, criminosos exploram a curiosidade pública com campanhas que o mencionam. Espere e-mails prometendo o arquivo vazado completo atrás de um link, comunicados falsos atribuídos à organização afetada, pedidos de doação ou páginas de roubo de credenciais disfarçadas de espelhos do vazamento. Parte desse tráfego sairá de domínios parecidos registrados para imitar o partido ou o próprio site do vazamento.
Esse é exatamente o tráfego que a aplicação do DMARC bloqueia. Se os domínios da AfD estiverem protegidos com SPF, DKIM e uma política p=reject, os atacantes não conseguem forjar e-mails convincentes a partir desses domínios, nem mesmo citando conteúdo real roubado. Os receptadores descartam as falsificações. O mesmo vale para qualquer organização cujo nome é arrastado ao ciclo de um vazamento: a aplicação é o que impede seu domínio de virar o veículo de entrega da história de outra pessoa.
Lições para todo remetente
- Trate hospedagem de terceiros como parte da sua superfície de ataque. O partido foi comprometido por meio de um provedor, não dos próprios sistemas. Fornecedores que guardam caixas postais merecem o mesmo escrutínio que seus servidores.
- Mapeie as caixas postais dormentes. Contas antigas que ninguém acessa continuam recebendo faturas, dados de membros e documentos pessoais. Arquive-as, delegue a vigilância ou elimine-as.
- Aplique o DMARC antes da crise, não durante ela. Com p=reject nos seus domínios de envio, a onda de spoofing que segue um vazamento bate na porta e volta.
- Fique atento a iscas que mencionam o vazamento. A curiosidade é hoje o melhor ativo dos atacantes. Os resumos publicados foram feitos para provocar cliques.
- Presuma que o conteúdo roubado será reaproveitado como arma. Citações reais dentro de um e-mail falso são o phishing mais convincente que existe, e só a autenticação dá aos receptadores um meio de distingui-los.
O comprometimento de caixas postais é uma falha de controle de acesso. A falha de confiança que vem depois, com e-mails falsificados que cavalgam a notícia, é uma falha de autenticação. O Excello Mail mostra todas as fontes que enviam como seus domínios e ajuda você a chegar ao p=reject, para que quando seu nome estampar as manchetes os falsificadores encontrem a porta trancada. Cadastre-se grátis no Excello Mail e feche essa porta antes que alguém a teste.