O FBI e a CISA publicaram um comunicado de serviço público conjunto, alerta I-101626-PSA, advertindo que agentes maliciosos podem tentar perturbar as eleições de meio de mandato dos Estados Unidos em 2026 usando phishing e smishing para roubar credenciais de acesso e dados sensíveis. Funcionários eleitorais, candidatos e suas organizações políticas são alvos atraentes por seu acesso a dados de registro de eleitores e informações confidenciais de campanha. As agências afirmam que funcionários eleitorais enfrentaram uma onda de tentativas de phishing nos dois últimos ciclos eleitorais e que, no último ano, o FBI observou um aumento do smishing por aplicativos de chat criptografados.
Os erros de digitação desapareceram
A parte mais marcante do comunicado é o que ele diz sobre a IA. Historicamente, emails de phishing eram reconhecíveis por erros de ortografia, vocabulário ilógico e gramática ruim. Segundo as agências, os atacantes agora usam IA para gerar textos que parecem genuínos, escritos em idiomas nativos e com linguagem cotidiana, o que torna mais provável que as vítimas cliquem em links maliciosos ou entreguem informações diretamente. A mesma tecnologia serve para produzir deepfakes convincentes de vídeo e áudio, que criminosos usam para criar identidades falsas, se passar por pessoas reais e reforçar esquemas de phishing. O velho conselho de procurar escrita descuidada não protege mais ninguém.
O que as agências recomendam
O PSA lista medidas defensivas concretas para organizações: autenticação multifator resistente a phishing, filtros de spam robustos, bloqueio de emails com anexos executáveis, banners de alerta em emails externos, processos para que funcionários relatem mensagens suspeitas, acesso de menor privilégio e atualizações em dia. Dentro dessa lista está a recomendação que mais importa para quem possui um domínio de envio: implementar e usar os padrões Sender Policy Framework e DomainKeys Identified Mail para limitar a falsificação dos servidores e do nome de domínio da organização em emails de phishing.
Essa recomendação merece atenção. SPF e DKIM são os dois protocolos de base sobre os quais o DMARC é construído, e o DMARC é a camada que diz aos servidores receptores o que fazer com uma mensagem que falha em ambos. O FBI e a CISA estão dizendo, na prática, que a falsificação de domínios é um vetor de ataque primário e que a autenticação de email faz parte da defesa básica, não é um extra opcional para grandes empresas.
Por que isso vale para o seu domínio
Se os atacantes geram phishing impecável no idioma nativo e em escala com IA, os destinatários não podem mais contar com detectar textos mal escritos. O único sinal técnico confiável que resta é se a mensagem realmente vem do domínio do cabeçalho From. SPF e DKIM fornecem essa prova, e uma política DMARC em quarantine ou reject a aplica, de modo que ninguém pode tomar emprestado o seu domínio para dar credibilidade a um roubo de credenciais.
Isso é igualmente importante para remetentes legítimos. O email de marketing e transacional só funciona quando a cadeia de autenticação está completa e alinhada, e os provedores de caixa postal tratam o email não autenticado com suspeita crescente. Uma organização que publica SPF e DKIM mas nunca avança além de p=none está marcando a caixinha sem fechar a porta, e seus clientes continuam sem conseguir distinguir uma mensagem falsificada da real.
A temporada eleitoral aumenta as apostas da falsificação, mas a ameaça não termina em novembro. O Excello Mail mapeia cada fonte legítima de envio dos seus domínios e leva você à aplicação plena do DMARC sem quebrar o email real. Cadastre-se gratuitamente no Excello Mail e garanta que o seu domínio nunca se torne o disfarce de outra pessoa.