A Microsoft Threat Intelligence publicou seu relatório sobre o panorama de ameaças por e-mail do terceiro trimestre de 2026, e o número principal é difícil de ignorar: foram detectadas aproximadamente 7,3 bilhões de ameaças de phishing por e-mail entre julho e setembro, com um aumento acentuado para quase 3 bilhões apenas em setembro, alta de 41% em relação a agosto.
O relatório, publicado em 5 de novembro no Microsoft Security Blog, registra várias mudanças que interessam a quem opera infraestrutura de e-mail ou envios em massa.
Serviços corporativos falsificados e o problema das exceções
A Microsoft detectou aproximadamente 129 milhões de mensagens maliciosas falsificando os domínios de remetente de serviços corporativos monitorados durante o trimestre. Em vez de usar domínios parecidos, essas mensagens se apresentavam com os domínios reais de serviços em que as pessoas confiam para assinar documentos, tratar faturas ou responder pesquisas. A DocuSign foi a marca mais falsificada em setembro, com 29% do total daquele mês, e Adobe, SurveyMonkey e Barracuda também registraram aumentos perto do fim do trimestre.
O achado mais importante diz respeito ao que aconteceu depois da detecção. Muitas dessas mensagens falharam nas verificações de autenticação e foram identificadas como maliciosas, mas ainda assim foram entregues porque exceções de segurança configuradas pela organização ou pelo usuário tinham precedência. Em setembro, as exceções foram aplicadas a 63% das mensagens com um resultado de segurança registrado, e a maioria foi no nível do locatário. Uma exceção criada para não interromper um fluxo de trabalho legítimo pode se transformar em silêncio numa porta aberta para mensagens que se passam por esse mesmo fluxo de trabalho.
Passar no DMARC não é prova de confiança
Uma campanha em espanhol observada em 21 de setembro mostra o outro lado da autenticação. Mensagens com iscas de ordens de compra e de folha de pagamento chegaram a mais de 56.000 usuários em mais de 8.100 organizações, com Colômbia, Estados Unidos, México, Chile e Espanha como principais países destinatários. O domínio do remetente passou em SPF, DKIM e DMARC, porque o atacante registrou um domínio e configurou a autenticação corretamente, ao mesmo tempo em que alterava o nome de exibição para parecer uma identidade de vendas ou de recursos humanos da própria organização do destinatário. Os anexos eram arquivos RAR camuflados que entregavam o malware Agent Tesla, e uma das cadeias baixava um payload de PowerShell do Firebase Storage.
É o padrão que torna a imposição do DMARC e o monitoramento inseparáveis. Os atacantes cada vez mais autenticam seus próprios domínios, então um DMARC que passa apenas indica que a mensagem veio mesmo daquele domínio, não que o domínio mereça confiança. Enquanto isso, o seu próprio domínio só fica protegido contra a falsificação exata se a sua política de DMARC estiver realmente imposta.
QR codes caem, arquivos SVG sobem
O phishing com QR codes caiu cerca de 67% em relação ao segundo trimestre, para cerca de 12,1 milhões de ataques, com o volume de setembro 86% abaixo do pico de março. O phishing com porta CAPTCHA foi na direção contrária e se recuperou para 3,1 milhões de ataques em setembro, quase o dobro do mínimo de julho, impulsionado sobretudo por anexos SVG. O volume de SVG aumentou seis vezes em agosto, quando os arquivos SVG representaram 65% dos ataques com CAPTCHA, e seguiram como principal método de entrega no fim do trimestre.
O roubo de credenciais continuou como o objetivo dominante: cerca de 94 a 96% dos ataques baseados em payload do terceiro trimestre direcionavam os destinatários a um site de phishing ou a uma página de login fraudulenta em vez de instalar malware. O efeito da operação de março contra a plataforma de phishing como serviço Tycoon2FA seguiu presente, com mensagens vinculadas 99,8% abaixo em julho na comparação com fevereiro.
A falsificação de contatos empresariais caiu para aproximadamente 6,2 milhões de ataques, mas os pedidos de pagamento de faturas mais que triplicaram entre junho e setembro. No Microsoft Teams, os atacantes passaram de identidades óbvias de help desk para nomes pessoais comuns, que subiram de 46% da amostra de julho para 88% em setembro.
O que fazer a respeito
O relatório lembra que o trabalho de autenticação nunca termina. Imponha DMARC em reject nos seus próprios domínios, audite cada lista de permissões e cada exceção que pule verificações de autenticação e trate um resultado de DMARC aprovado como verificação de identidade, não como endosso. Se você procura uma plataforma de envio que leva autenticação e entregabilidade a sério desde o primeiro dia, cadastre-se gratuitamente no Excello Mail.