A Cisco Talos publicou uma pesquisa que deveria mudar a forma como toda equipe de segurança e de e-mail lê a frase “esta mensagem passou pela autenticação”. Em um Threat Spotlight intitulado Parasitizing trust, publicado em 21 de outubro de 2026, os pesquisadores descrevem como, ao longo do último ano, os atacantes abusaram sistematicamente de infraestrutura legítima em vez de construir a própria. A Talos observou abuso em mais de 25 plataformas legítimas distintas, abrangendo serviços de colaboração, produtividade, compartilhamento de arquivos, pesquisas, pagamentos e inteligência artificial.
O padrão é sempre o mesmo. O atacante não falsifica um remetente nem registra um domínio parecido. Em vez disso, insere conteúdo hostil em uma plataforma confiável, e a própria plataforma renderiza esse conteúdo dentro de um e-mail de notificação genuíno, autenticado e de alta reputação.
As campanhas de notificações de pedido da Staples e da Dell
A Talos analisou duas campanhas de notificação de pedido que abusaram dos fluxos de e-mail transacional da Staples e da Dell. Juntas, essas campanhas somaram aproximadamente 1.400 mensagens observadas pela Talos.
Na primeira campanha, as vítimas receberam o que parecia uma confirmação de pedido da Staples vinda de [email protected], confirmando a compra de um Apple iPad, com número do pedido, preços, dados de faturamento e o rodapé padrão da Staples. O elemento malicioso estava oculto nos campos do pedido onde normalmente ficam as informações de envio e faturamento: um número de “Helpline” controlado pelo atacante. Os cabeçalhos mostravam alinhamento DKIM para orders.staples.com e DMARC aprovado para o domínio visível da Staples.
A segunda campanha usou o mesmo padrão com uma notificação de pedido da Dell, confirmando a compra do Microsoft Project Standard 2024 por 736,09 dólares, também com um número de “Helpline” controlado pelo atacante nas seções Ship To e Bill To. Essa mensagem também mostrava DKIM aprovado para a infraestrutura da Dell e DMARC aprovado para order.dell.com.
O objetivo nunca foi um clique em um link de phishing. O objetivo era uma ligação telefônica. Assim que a vítima passava do e-mail para a voz, o atacante podia continuar com engenharia social, manipulação de pagamentos, roubo de credenciais ou fraude de assistência remota. A autenticação provava que a mensagem vinha da infraestrutura real da Staples ou da Dell, mas não dizia nada sobre se o número de telefone ou o contexto da transação eram legítimos.
O list bombing se torna um veículo de conteúdo
A Talos também descreve uma evolução do list bombing. Tradicionalmente, os atacantes inundavam a caixa de entrada da vítima com mensagens automáticas de assinatura como distração ou negação de serviço. A Talos agora observa um subconjunto de casos em que os atacantes digitam uma sequência hostil, como um isca de criptomoedas, em formulários públicos de registro, campos de nome, empresa ou cargo que carecem de validação de entrada adequada. A plataforma então reflete essa isca em seus próprios e-mails automáticos de boas-vindas ou verificação, entregando conteúdo do atacante dentro de mensagens geradas pelo sistema que passam pelas verificações de autenticação padrão.
Os pesquisadores também observam que os avisos de falha na entrega são abusados da mesma forma. Um atacante pode provocar um retorno que carrega uma carga maliciosa, por exemplo uma isca de compartilhamento de arquivos, porque os usuários são condicionados a ver erros do sistema como benignos.
Por que isso não significa que o DMARC está quebrado
A reação instintiva ao phishing que passa pelo DMARC é perguntar se a autenticação ainda importa. A Talos é explícita: SPF, DKIM e DMARC respondem se uma mensagem veio da infraestrutura esperada. Eles não respondem se a transação era legítima ou se os campos renderizados fazem sentido. A autenticação do remetente é necessária, mas não suficiente.
É a conclusão correta, e ela corta nos dois sentidos. Para os destinatários, um DMARC aprovado é o piso, não o teto: inspeção de conteúdo, verificação de números de retorno contra os canais de suporte conhecidos e validação do que pertence a um campo transacional continuam importando. Para os remitentes, a pesquisa é um alerta sobre o que acontece quando a autenticação está ausente. Os atacantes investem tanto esforço em pegar emprestados domínios confiáveis justamente porque falsificar um domínio sem autenticação continua barato. Um domínio com a política DMARC parada em p=none lhes oferece essa opção barata todos os dias.
O ângulo da entregabilidade para remitentes legítimos
Há também uma lição para profissionais de marketing e operadores de plataformas. Cada campo refletido em uma mensagem transacional, do nome de envio à nota do pedido ou ao campo de suporte, pode se tornar um veículo de entrega se não for validado antes da renderização. Marcas cujos fluxos são abusados dessa forma absorvem um passivo de confiança que nenhum link de descadastro repara. Enquanto isso, os provedores de caixa postal continuam a endurecer os requisitos sobre e-mail autenticado e desejado, então os remitentes que investem na aplicação plena do DMARC são os que mantêm seu e-mail legítimo distinguível do ruído.
A Talos recomenda tratar notificações de pedido como conteúdo sensível: correlacionar o conteúdo da notificação com o histórico da conta e o estado do pagamento, e sinalizar números de telefone, URLs ou linguagem de urgência inesperados em campos onde não pertencem.
A conclusão é simples. A autenticação deter a falsificação de domínios e continua sendo o controle que todo remetente precisa em aplicação. Mas os novos manuais dos atacantes pegam emprestada infraestrutura autenticada, então a verificação precisa se estender ao que a mensagem realmente pede que o usuário faça. O Excello Mail mapeia cada fonte legítima de envio dos seus domínios e leva você à aplicação plena do DMARC sem quebrar o e-mail real, e seu monitoramento expõe os remitentes não autorizados que tentam se esconder entre os legítimos. Cadastre-se gratuitamente no Excello Mail e garanta que seu domínio nunca seja a máscara da fraude de outra pessoa.