A Fortra publicou seu BEC Global Insights Report de outubro de 2026 em 2 de novembro de 2026, e o achado mais útil para quem defende e-mails é sobre infraestrutura. Durante outubro, 63% dos ataques de comprometimento de e-mail corporativo observados pela equipe Fortra Intelligence and Research Experts, conhecida como FIRE, foram enviados de endereços hospedados em provedores de webmail gratuito. Apenas 37% se originaram de domínios registrados de forma maliciosa. A fatia de webmail gratuito até cresceu em relação aos 60% de setembro.
O relatório se baseia nas centenas de confrontos de defesa ativa com atores de ameaça BEC que a FIRE conduz todos os meses, o que dá uma visão especialmente direta de como os atacantes pedem dinheiro e de onde enviam seus e-mails.
O volume caiu, mas os pedidos de dinheiro não pararam
A FIRE observou uma queda de 36% no volume total de ataques BEC em outubro em comparação com setembro. As táticas por baixo desse número, porém, seguiram notavelmente estáveis. Cartões-presente continuaram como o método de saque mais prevalente, respondendo por 57,5% dos ataques, seguidos por fraudes de taxa antecipada com 22,6% e transferências bancárias com 12,2%.
Cartões da Apple Store foram os mais solicitados, representando 50% de todos os pedidos, com Amazon em 31,8% e Sephora em 4,5%. O quadro das criptomoedas foi pequeno, mas persistente: 8 golpes relacionados foram identificados, envolvendo 5 endereços únicos de Bitcoin, com pedidos entre 1.270 e 3.300 dólares e média de 2.437,50 dólares.
Ataques de transferência ficaram mais frequentes e um pouco mais baratos
Os ataques de transferência bancária aumentaram 16% em outubro em relação a setembro, enquanto o valor médio pedido caiu 18%, para 41.779 dólares, contra 50.943. A distribuição lembra que o BEC não é apenas uma fraude de sete dígitos na sala do conselho. Pedidos abaixo de 10.000 dólares foram 24% do total, valores entre 10.000 e 50.000 dólares somaram 46%, pedidos entre 50.000 e 100.000 dólares 27%, e apenas 4% excederam 100.000 dólares.
As contas laranja que recebiam essas transferências se concentraram em grandes bancos dos EUA, com 37%, seguidos por bancos internacionais que não sejam dos EUA com 15% e bancos regionais americanos com 13%. Nos ataques de desvio de folha de pagamento, a FIRE identificou 51 bancos no total, com Green Dot/Go2Bank em 27%, SoFi Bank em 10% e Bank of Montreal em 4% entre os mais usados.
941 domínios registrados de forma maliciosa
A seção de infraestrutura traz a verdadeira lição. A FIRE identificou 941 domínios registrados de forma maliciosa durante outubro, e 75% deles foram registrados por meio do Google, seguidos por Microsoft e Seznam. Entre os ataques baseados em webmail gratuito, os três serviços mais usados foram Spaceship, Wild West Domains e NameCheap, que juntos representaram 42% de todo o e-mail de ataque.
Geograficamente, os Estados Unidos responderam por 39% dos ataques por endereço IP identificado e a Nigéria por 28%, com a ressalva da Fortra de que localizações fora da África Ocidental não podem ser consideradas totalmente definitivas porque um dispositivo atrás de um IP poderia atuar como proxy.
Por que isso importa para o DMARC
A divisão entre webmail e domínios registrados corresponde exatamente às duas metades do problema da usurpação. Os 63% enviados de webmail gratuito são e-mails autenticados. Eles vêm genuinamente do domínio do provedor, passam nas verificações de SPF, DKIM e DMARC, e nenhuma política que você publique no seu próprio domínio vai detê-los. Esses ataques dependem do nome exibido e da história no corpo da mensagem, e é por isso que o treinamento da equipe e os procedimentos de verificação de mudanças de pagamento continuam importando.
Os 37% vindos de domínios registrados de forma maliciosa são onde a defesa de domínio compensa. Os atacantes registram domínios parecidos porque falsificar o seu domínio exato ficou mais difícil conforme a imposição do DMARC se espalha. Uma política DMARC em p=reject fecha a rota de falsificação exata, e monitorar seus relatórios agregados mostra quais domínios parecidos estão sendo usados contra sua equipe e seus clientes. Os 941 registros novos em um único mês mostram que isso é um processo contínuo, não uma configuração única.
O relatório foi escrito por JT Newby, Principal Threat Research Lead da Fortra, e serve como um pulso mensal útil sobre como os operadores de BEC realmente sacam o dinheiro e de onde enviam.
A maioria do e-mail BEC hoje chega de infraestrutura que passa na autenticação por padrão, o que torna o seu próprio domínio um dos poucos ativos totalmente sob seu controle. O Excello Mail mostra exatamente o que está sendo enviado em nome do seu domínio e quais domínios parecidos o cercam. Cadastre-se gratuitamente no Excello Mail e assuma o controle da identidade do seu domínio.