Email spoofing é a falsificação das informações de remetente de um e-mail para que a mensagem pareça vir de uma pessoa ou organização confiável, quando na verdade não vem. Isso é possível porque o protocolo original de e-mail, o SMTP, foi criado sem verificação de remetente. Qualquer servidor pode alegar que envia mensagens em nome de qualquer domínio, a menos que esse domínio use SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance) para ajudar os servidores de destino a identificar mensagens não autorizadas.
A falsificação de domínio de e-mail continua sendo uma das técnicas mais usadas por cibercriminosos para se passar por empresas e organizações legítimas. Quando fazem uma mensagem parecer vinda de uma instituição confiável, eles aumentam muito as chances de que ela seja aberta, lida e considerada legítima pelo destinatário.
Esses ataques costumam fazer parte de campanhas de phishing, fraudes financeiras, roubo de credenciais e distribuição de malware. As mensagens podem conter links para sites falsos, anexos maliciosos ou pedidos enganosos, criados para induzir o usuário a compartilhar informações confidenciais ou a realizar ações que comprometam a própria segurança ou a da organização.
Os avanços da inteligência artificial facilitaram a criação de mensagens de phishing mais sofisticadas. Com IA, os cibercriminosos conseguem produzir mensagens altamente personalizadas que imitam o tom de comunicação, a identidade visual e até o estilo de escrita de empresas legítimas, o que torna os golpes por e-mail cada vez mais difíceis de identificar.
O impacto do spoofing vai além das vítimas diretas. As organizações que têm seus domínios usados indevidamente podem sofrer danos à reputação, perda de confiança de clientes e parceiros e aumento dos riscos operacionais. Em alguns casos, a falta de medidas de proteção adequadas pode até levantar questionamentos sobre compliance e governança de segurança da informação.
Como funciona o email spoofing
Todo e-mail carrega dois endereços de remetente distintos, e é justamente essa separação que o spoofing explora.
- O remetente do envelope (também chamado de MAIL FROM e refletido no cabeçalho Return-Path) é usado pelos servidores de e-mail para encaminhar a mensagem e tratar as devoluções (bounces). Normalmente, os destinatários nunca o veem.
- O “From” do cabeçalho é o endereço de remetente exibido na caixa de entrada do destinatário. Trata-se apenas de uma linha de texto dentro da mensagem, e o servidor de envio não precisa provar que tem o direito de usá-la.
Assim, um cibercriminoso pode definir o “From” do cabeçalho como financeiro@suaempresa.com.br e enviar a mensagem de um servidor sem nenhuma relação com a empresa. Não é preciso invadir nada: nenhuma caixa de e-mail é comprometida e nenhuma senha é roubada. A mensagem é simplesmente montada com informações falsas de remetente e entregue a um servidor de e-mail que a aceita.
É por isso que muitas organizações só descobrem de forma indireta que seu domínio está sendo falsificado: por mensagens de devolução de e-mails que nunca enviaram, reclamações de clientes sobre faturas fraudulentas ou uma queda repentina na entregabilidade, causada pelo dano à reputação de envio do domínio.
Como saber se um e-mail foi falsificado
Uma mensagem falsificada pode parecer legítima na caixa de entrada, então é preciso olhar os cabeçalhos para saber se ela foi autenticada. No Gmail, abra a mensagem, clique no menu de três pontos perto do canto superior direito do e-mail e selecione “Mostrar original”. No Outlook, acesse Arquivo › Propriedades › Cabeçalhos de Internet. Procure a linha Authentication-Results:
- SPF, DKIM ou DMARC com o resultado
failindica que o servidor de envio não foi autorizado pelo domínio do endereço “From”. - Um Return-Path diferente do endereço “From” visível é um indício comum, embora serviços legítimos de envio de e-mail também gerem essa divergência.
- Cabeçalhos Received que levam a uma infraestrutura sem relação com o suposto remetente são um sinal forte.
Se o seu próprio domínio estiver sendo falsificado, os relatórios agregados do DMARC são a forma mais rápida de confirmar o problema e identificar quais servidores estão enviando e-mails com o seu domínio. Configurar o DMARC em modo de monitoramento, como descrito a seguir, é o primeiro passo prático.
Como proteger seu domínio de e-mail contra spoofing: SPF, DKIM, DMARC e BIMI
Embora o spoofing seja possível por causa de limitações dos protocolos originais de e-mail, existem mecanismos amplamente adotados que ajudam a autenticar as mensagens e reduzem bastante a possibilidade de falsificação. Entre eles estão SPF, DKIM, DMARC e BIMI (Brand Indicators for Message Identification). Os três mecanismos principais funcionam em conjunto: SPF e DKIM fornecem, cada um, um sinal de autenticação, e o DMARC informa aos servidores de destino o que fazer quando esses sinais falham. Já o BIMI permite que o logotipo da empresa apareça ao lado de seus e-mails depois que eles são verificados por SPF, DKIM e DMARC.
Registros SPF
O SPF (Sender Policy Framework) é um dos mecanismos fundamentais de proteção de domínios de e-mail. Trata-se de um registro publicado no DNS que especifica quais servidores estão autorizados a enviar mensagens em nome de determinado domínio.
Quando um e-mail é recebido, o servidor de destino consulta o registro SPF associado ao domínio de envio para verificar se o servidor que enviou a mensagem está autorizado. Se a validação for bem-sucedida, a mensagem pode seguir para análises adicionais. Caso contrário, ela pode ser rejeitada, colocada em quarentena ou marcada como suspeita, dependendo da política configurada no servidor de destino.
Apesar de sua importância, o SPF sozinho não é suficiente para impedir todas as formas de spoofing. Por isso, ele deve ser usado em conjunto com outras tecnologias de autenticação.
O SPF também tem um ponto cego específico: ele valida o remetente do envelope, e não o endereço “From” do cabeçalho, que é o que o destinatário realmente vê. Uma mensagem pode passar pelo SPF e ainda assim exibir um endereço “From” falsificado. Fechar essa brecha é o papel do alinhamento do DMARC.
Os principais mecanismos usados em um registro SPF são:
- ip4: autoriza servidores por meio de endereços IPv4.
- ip6: autoriza servidores por meio de endereços IPv6.
- a: autoriza os endereços IP associados ao registro A do domínio.
- mx: autoriza os servidores definidos nos registros MX do domínio.
- include: permite autorizar serviços externos de envio de e-mail.
- all: define a política aplicada aos servidores não autorizados.
Exemplos:
v=spf1 ip4:203.0.113.10 ip4:198.51.100.20 -allAutoriza dois servidores de envio.
v=spf1 include:spf.protection.outlook.com a:mail.example.com -allAutoriza os servidores de envio do Microsoft 365 (Outlook) e o servidor cujo endereço IP está associado ao registro A de mail.example.com.
v=spf1 mx ~allAutoriza os servidores definidos nos registros MX do domínio. As mensagens enviadas por outros servidores recebem uma indicação de falha leve (~all, ou soft fail), e o servidor de destino decide como tratá-las.
Vale lembrar que um registro SPF mal configurado pode impedir a entrega de e-mails legítimos. Antes de publicar ou alterar um registro SPF, as organizações devem validar a configuração e testar o impacto nos fluxos de entrega de e-mail.
Na prática, dois tipos de falha respondem pela maior parte dos problemas com SPF. O primeiro é o limite de 10 consultas de DNS por registro: cada include: de um serviço de envio de terceiros consome pelo menos uma consulta, e organizações que usam várias plataformas de marketing, atendimento e CRM ultrapassam esse limite com frequência, o que invalida todo o registro. O segundo é que o SPF falha quando a mensagem é encaminhada, pois o servidor de encaminhamento não consta como autorizado. Os dois motivos mostram por que o SPF deve ser tratado como um sinal entre vários, e não como proteção isolada.
DKIM (DomainKeys Identified Mail)
O DKIM (DomainKeys Identified Mail) é outro mecanismo de autenticação de e-mail, que usa criptografia assimétrica para verificar a autenticidade e a integridade das mensagens enviadas. Ele oferece uma camada adicional de autenticação, complementando o SPF e reforçando a proteção contra spoofing e outros ataques ligados à falsificação de identidade.
O DKIM funciona em duas etapas principais. Primeiro, o e-mail de saída é assinado: quando uma mensagem é enviada de um domínio com DKIM configurado, o servidor adiciona aos cabeçalhos uma assinatura digital, gerada com a chave privada associada ao domínio. Em seguida, o servidor de destino obtém a chave pública publicada no DNS do domínio remetente e verifica a assinatura, validando a autenticidade da mensagem e confirmando que o conteúdo assinado não foi alterado durante a transmissão.
Além de ajudar a evitar o uso não autorizado do domínio de envio, esse mecanismo aumenta a confiança dos servidores de destino no remetente. E-mails de domínios com DKIM configurado corretamente têm mais chances de passar nas verificações de autenticação e podem contribuir para melhorar a reputação do domínio junto aos provedores de e-mail.
A configuração do DKIM não é complexa, mas envolve várias etapas técnicas. As organizações devem seguir as orientações de seus provedores de e-mail, como Google Workspace ou Microsoft 365, que incluem a geração de chaves, a publicação de registros DNS e a ativação da assinatura de mensagens.
A chave pública é publicada em um subdomínio específico do seletor, o que permite que um domínio use várias chaves em paralelo, uma para cada plataforma de envio:
selector1._domainkey.example.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."Use chaves de pelo menos 2048 bits e faça a rotação delas periodicamente. Ao contrário do SPF, o DKIM continua válido após o encaminhamento, porque a assinatura viaja com a mensagem.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
O DMARC (Domain-based Message Authentication, Reporting, and Conformance) foi desenvolvido para complementar essas duas tecnologias. Esse protocolo usa os resultados das validações de SPF e DKIM e permite que os proprietários de domínios definam políticas para tratar os e-mails que não atendem aos requisitos de autenticação.
De acordo com a política de DMARC publicada pelo proprietário do domínio, o servidor de destino pode aceitar (sem tomar nenhuma ação), rejeitar ou colocar em quarentena (enviar para o spam) um e-mail que não cumpra os requisitos estabelecidos. Além disso, o protocolo permite o envio de relatórios periódicos ao administrador do domínio, com visibilidade sobre falhas de autenticação e possíveis tentativas de spoofing. Essas informações ajudam as organizações a monitorar o uso do domínio e ajustar as políticas de segurança conforme necessário.
O DMARC acrescenta o que falta ao SPF e ao DKIM isoladamente: o alinhamento. Ele exige que o domínio validado pelo SPF ou pelo DKIM corresponda ao domínio do endereço “From” visível, e é isso que de fato impede um cibercriminoso de exibir a sua marca na caixa de entrada do destinatário.
Um registro DMARC é publicado como um registro TXT em _dmarc.example.com:
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; pct=100; adkim=s; aspf=sAs principais tags são:
p=: a política aplicada às mensagens que falham: none, quarantine ou reject.rua=: o endereço que recebe os relatórios agregados.pct=: a porcentagem de mensagens com falha à qual a política é aplicada, usada para aumentar o rigor de forma gradual.sp=: a política para subdomínios, alvos frequentes de cibercriminosos quando o domínio principal está protegido.adkim=/aspf=: o rigor do alinhamento, que pode ser flexível (r), o padrão, ou estrito (s).
Implementar o DMARC de uma só vez é a causa mais comum de perda de e-mails provocada pela própria organização. A sequência padrão é a seguinte:
- Publique
p=nonecom um endereço para relatórios e não altere mais nada. A entrega de e-mails não é afetada. - Leia os relatórios agregados durante quatro a oito semanas para montar um inventário completo de todos os serviços que enviam mensagens em seu nome. Plataformas de marketing, sistemas de faturamento, ferramentas de RH e help desks costumam ficar de fora.
- Autentique todos os remetentes legítimos com SPF e DKIM e corrija as falhas de alinhamento.
- Migre para
p=quarantine, começando com um valor baixo depct=e aumentando-o enquanto acompanha os relatórios. - Migre para
p=reject, a única política que realmente impede que mensagens falsificadas cheguem aos destinatários. Um domínio que fica para sempre em p=none está monitorado, não protegido.
A autenticação de e-mail agora é um requisito de entregabilidade, não apenas uma medida de segurança
Desde 2024, os principais provedores de e-mail tratam a autenticação como condição de entrega, e não mais como recomendação. Google e Yahoo criaram requisitos para remetentes em massa (de modo geral, quem envia cerca de 5.000 mensagens por dia para seus usuários) que abrangem autenticação SPF e DKIM, política de DMARC publicada, cancelamento de inscrição com um clique em e-mails de marketing e taxas de denúncia de spam abaixo de um limite definido. Depois disso, a Microsoft anunciou exigências semelhantes para remetentes de alto volume que enviam para domínios outlook.com.
Na prática, as organizações sem essas proteções agora enfrentam dois custos em vez de um: seu domínio fica disponível para golpistas, e seus e-mails legítimos de campanhas, faturamento e notificações têm cada vez mais chances de ser filtrados ou rejeitados. Antes de planejar a implementação, confirme os limites atuais na documentação de cada provedor, pois eles continuam ficando mais rígidos.
BIMI
Até aqui, todos os mecanismos abordados neste artigo funcionam principalmente nos bastidores, sem interação direta com o usuário final que recebe o e-mail. Embora essas tecnologias sejam essenciais para validar a autenticidade das mensagens, também é importante oferecer aos destinatários uma forma visual de reconhecer que a comunicação realmente pertence à organização indicada.
É aí que entra o BIMI (Brand Indicators for Message Identification), um padrão de autenticação e identificação visual que permite às organizações exibir seus logotipos ao lado dos e-mails enviados de seus domínios. O logotipo pode aparecer diretamente na caixa de entrada do destinatário (por exemplo, ao lado do nome do remetente), o que garante o reconhecimento imediato da marca e reforça a confiança na comunicação por e-mail.
A implementação do BIMI exige várias etapas comuns à maioria dos provedores de e-mail. Primeiro, a organização precisa preparar um logotipo compatível, geralmente em formato SVG e com requisitos específicos de segurança e padronização, garantindo que a imagem esteja corretamente associada ao domínio de envio. Além disso, o DMARC deve estar configurado com uma política de aplicação (p=quarantine ou p=reject), o que exige que os mecanismos SPF e DKIM estejam implementados e alinhados corretamente. Dependendo do provedor de e-mail e do nível de validação exigido, também pode ser necessário um VMC (Verified Mark Certificate) ou outro certificado aceito pelo ecossistema BIMI. Esse certificado deve ser emitido por uma autoridade certificadora reconhecida, como a DigiCert, para comprovar a propriedade e a autenticidade do logotipo utilizado.
O BIMI é a última etapa, não a primeira. Como depende de uma política de DMARC já aplicada, só vale a pena investir nele quando toda a cadeia de SPF, DKIM e DMARC estiver completa e estável.
Como proteger sua organização de e-mails falsificados que chegam à caixa de entrada
SPF, DKIM, DMARC e BIMI impedem que o seu domínio seja usado contra outras pessoas. Eles não fazem nada, porém, contra as mensagens falsificadas que chegam às caixas de entrada dos seus funcionários a partir de domínios que você não controla. Isso inclui domínios de parceiros e fornecedores com autenticação fraca ou inexistente, além de domínios parecidos com os legítimos, registrados especificamente para burlar essas proteções.
A proteção de entrada é uma camada separada e precisa abranger:
- Filtragem de e-mail no servidor ou na nuvem, que valida os resultados de SPF, DKIM e DMARC na chegada e coloca em quarentena as mensagens que falham, inclusive as de domínios cuja política está apenas em modo de monitoramento.
- Detecção de domínios semelhantes e de falsificação do nome de exibição, casos em que o domínio de envio está autenticado corretamente, mas foi registrado para se parecer com um domínio confiável.
- Análise de anexos e URLs, já que a informação falsa de remetente costuma ser apenas o meio de entrega de um link ou documento malicioso, e não o ataque em si.
O ESET Mail Security e o ESET Cloud Office Security aplicam essas verificações aos e-mails que chegam a servidores on-premise e a tenants do Microsoft 365 e do Google Workspace, combinando validação de autenticação com antiphishing, antispam e análise de anexos.
Tecnologia e educação: uma dupla necessária
Essas tecnologias complementares têm papel fundamental na construção de um ambiente de comunicação por e-mail mais seguro e confiável. Ao permitir a validação do domínio remetente, a verificação da integridade das mensagens e a aplicação de políticas contra tentativas de spoofing, elas reduzem as oportunidades de os cibercriminosos usarem domínios legítimos de forma indevida e realizarem campanhas fraudulentas.
Na prática, a sequência importa mais do que cada registro individual: publique o SPF, assine com DKIM, implemente o DMARC em modo de monitoramento, analise os relatórios até que todos os remetentes legítimos estejam autenticados e, então, passe a política para o modo de aplicação. A proteção oferecida por esses mecanismos vai além da própria organização, pois ajuda usuários e clientes a confiar mais nas mensagens que recebem.
No entanto, a tecnologia sozinha não basta. A conscientização em cibersegurança continua sendo essencial para fortalecer a proteção de empresas, funcionários e clientes. Como as ameaças de falsificação de identidade e engenharia social não param de evoluir, todos precisam estar preparados para identificar sinais de e-mails fraudulentos, entender os riscos das comunicações eletrônicas e adotar comportamentos seguros no ambiente digital.
Perguntas frequentes
É possível impedir que meu e-mail seja falsificado?
Não dá para impedir que um cibercriminoso escreva o seu endereço em uma mensagem, mas é possível fazer com que os servidores de destino rejeitem o resultado. Ao publicar registros SPF e DKIM e aplicar uma política de DMARC p=reject, as mensagens que alegam vir do seu domínio, mas falham na autenticação, são recusadas antes de chegar ao destinatário.
Como saber se alguém está falsificando meu e-mail?
A evidência mais clara são os relatórios agregados do DMARC, que listam todos os servidores que enviam mensagens usando o seu domínio. Mensagens de devolução de e-mails que você nunca enviou e relatos de clientes sobre faturas ou redefinições de senha inesperadas costumam ser os primeiros sinais de alerta.
O que acontece quando um e-mail é falsificado?
O destinatário vê uma mensagem que parece vir de um remetente confiável. Nada é comprometido do seu lado (nenhuma conta é acessada e nenhum dado é retirado dos seus sistemas), mas o destinatário pode atender a um pedido fraudulento, e os abusos repetidos prejudicam a reputação de envio e a entregabilidade do seu domínio.
Email spoofing é crime?
Falsificar informações de remetente para cometer fraudes, roubar credenciais ou distribuir malware é crime na maioria das jurisdições, e se passar pelo domínio de uma empresa também pode configurar violação de marca. A falsificação de remetente por si só, como em testes de segurança autorizados, não é necessariamente ilegal.
