No terceiro trimestre de 2026, a Microsoft foi usurpada em 33% de todas as tentativas de phishing de marca rastreadas pela Check Point Research, um salto grande desde os 23% do trimestre anterior e cerca de quatro vezes a fatia de qualquer outra marca. O dado vem do relatório de phishing de marca do Q3 2026 publicado pela Check Point no final de outubro de 2026 e confirma uma tendência que todo administrador de e-mail deveria entender: quando os atacantes escolhem uma máscara, escolhem cada vez mais a que abre a porta da frente da empresa.
Um top cinco que cobre mais da metade das tentativas
O ranking do Q3 2026 coloca a Microsoft muito à frente de todos. A Apple subiu duas posições para o segundo lugar com 8%, empatada com o Google em terceiro, enquanto o LinkedIn caiu duas posições para o quarto com 6% e a Amazon completou o top cinco. Juntas, essas cinco marcas representaram mais da metade de todas as tentativas de usurpação observadas durante o trimestre, o que mostra o quanto os atacantes dependem de um grupo pequeno de nomes confiáveis.
Os que mais subiram foram o Dropbox, que saltou dez posições para o oitavo lugar, e o YouTube, que subiu cinco para o sexto, ambos entrando no top dez. Por setor, Tecnologia continuou sendo o mais usurpado, seguido por Redes Sociais e Bancos, os lugares onde as pessoas guardam suas contas mais valiosas.
Por que a Microsoft lidera com tanta vantagem
A explicação da Check Point é simples. Credenciais Microsoft roubadas podem destravar todo um ambiente corporativo, incluindo e-mail, arquivos e ferramentas de colaboração, enquanto a maioria das outras marcas do top cinco leva principalmente a contas pessoais. Uma única credencial do Microsoft 365 pode ser a diferença entre um incômodo e uma invasão completa, então os atacantes investem seu esforço onde está o prêmio.
Atacantes já usurpam ferramentas de IA e desenvolvimento
Dois exemplos do relatório se destacam porque apontam para onde o phishing de marca está indo. Um e-mail de phishing enviado em outubro de 2026 usurpa o Claude, o assistente de IA da Anthropic, afirmando que um pagamento de 500,00 euros do período de faturamento foi recusado e que o acesso à API e as licenças do Claude serão pausados se a forma de pagamento não for atualizada. A mensagem veio do endereço não autorizado billing-update@account-notif[.]com e usava a marca do Claude e da Anthropic para levar as vítimas a um processo fraudulento de atualização de pagamento.
O segundo exemplo mira os desenvolvedores. O site antigravity-ide-google[.]com, registrado em setembro de 2026, usurpa o Google Antigravity, a plataforma de desenvolvimento de software agéntica do Google. Ele mostra aos visitantes um comando de instalação Linux que parece legítimo, mas que na verdade decodifica e executa um comando codificado em Base64, que baixa e executa um script de shell de um servidor externo e dá ao atacante execução remota de código na máquina da vítima.
Os truques do terminal e do software de acesso remoto
Os atacantes também vão além de roubar senhas. Um site falso de suporte da Apple, apple-support[.]today, registrado em setembro de 2026, imita com detalhes o site oficial da Apple e publica um artigo chamado “Boost your Mac using the terminal”, persuadindo os visitantes a executar comandos maliciosos em seus próprios computadores. Um conjunto de sites que usurpam o Docusign, registrados a partir de setembro de 2026 e até o início de outubro, mostra um documento aguardando assinatura atrás de um aviso de “Update Required” que exige uma suposta atualização do Docusign Reader. Clicar em Continue baixa o instalador do FleetDeck, um produto legítimo de monitoramento e gestão remota (RMM) abusado para obter acesso remoto não autorizado ao dispositivo da vítima.
O que isso significa para o DMARC e o seu domínio
O phishing de marca vive em duas superfícies de ataque distintas, e cada uma precisa de defesas diferentes. A primeira é o próprio e-mail falsificado, uma mensagem que alega vir de microsoft.com ou do seu domínio. É para essa superfície que o DMARC existe. Se o seu domínio publica uma política de imposição, os receptores colocam em quarentena ou rejeitam o e-mail forjado, e o ramo do phishing de marca baseado na usurpação exata de domínio desmorona na camada de DNS.
A segunda superfície são os domínios parecidos e os sites falsos, como apple-support[.]today ou antigravity-ide-google[.]com. Nenhum padrão de autenticação de e-mail pode detê-los, porque o atacante é o dono real do domínio de onde envia. O que você pode fazer é monitorar registros de domínios parecidos com a sua marca, treinar os usuários para que uma página convincente não diga nada sobre a barra de endereços e detectar ferramentas de gestão remota não aprovadas nos computadores.
A leitura desconfortável dos números do Q3 2026 é que o que os atacantes roubam é a confiança. A Microsoft lidera precisamente porque os funcionários confiam em suas telas de login sem questionar. Se a sua marca tem reconhecimento, a mesma lógica vale para o seu domínio, e uma política DMARC deixada em p=none é um convite aberto para quem quiser pegar essa confiança emprestada.
O phishing de marca ataca seus clientes e seus colegas em nome de marcas em que confiam, e o seu próprio domínio faz parte desse campo de batalha. O Excello Mail mostra exatamente o que está sendo enviado em nome do seu domínio, para que você passe do monitoramento à imposição com segurança. Cadastre-se gratuitamente no Excello Mail e assuma o controle da identidade do seu domínio.