O que é falsificação de e-mail (spoofing)?
A falsificação de e-mail, ou spoofing, é o envio de uma mensagem em que o remetente exibido na tela não é quem realmente enviou. Qualquer pessoa, de qualquer servidor do mundo, pode escrever o nome e o endereço da sua empresa no campo de remetente, sem precisar invadir nada, porque o protocolo que transporta o e-mail nunca foi desenhado para exigir prova de identidade. É a base técnica do phishing e da fraude do falso executivo, e a razão pela qual existem SPF, DKIM e DMARC.
Como um e-mail falsificado é montado
Toda mensagem carrega dois remetentes: o do envelope, que os servidores usam para transportá-la, e o do cabeçalho, que é o que aparece para a pessoa. Eles não precisam ser iguais, e é nessa folga que a falsificação acontece.
Escolhe um nome que abre portas
O criminoso seleciona um domínio de confiança da vítima: a própria empresa dela, um fornecedor, um banco ou o e-mail de um diretor. Não é preciso ter acesso a nada disso.
Escreve o remetente à mão
O campo que aparece como remetente é texto livre, preenchido por quem envia. Nada no envio confere se aquele endereço pertence a quem está enviando.
Despacha por um servidor qualquer
A mensagem sai de uma infraestrutura controlada pelo criminoso, muitas vezes alugada por horas. O servidor de origem não tem relação nenhuma com o domínio falsificado.
A vítima vê o nome, não o caminho
O programa de e-mail exibe o nome de exibição em destaque e esconde o resto. No celular, quase sempre só o nome aparece, e o endereço real fica a dois toques de distância.
Fonte: documentação oficial da Microsoft sobre autenticação de e-mail, que descreve as duas identidades de remetente de uma mensagem (a do envelope, definida na RFC 5321, e a do cabeçalho, definida na RFC 5322), e o material de segurança de e-mail da N-able University.
Por que o e-mail permite isso desde sempre
- O protocolo de e-mail nasceu sem autenticação. Na documentação da Microsoft a frase é literal: por desenho, o e-mail SMTP na internet não faz nenhum esforço para validar que o remetente é quem diz ser. Ele foi criado para uma rede pequena, onde todos se conheciam.
- Existem dois remetentes e só um é conferido. O do envelope é verificado pelo SPF; o que a pessoa lê na tela pode ser outro, e é justamente esse que convence.
- Não é invasão, é redação. Falsificar não exige senha, vulnerabilidade nem acesso ao ambiente da empresa cujo nome está sendo usado. Por isso não deixa rastro nenhum do lado de quem foi imitado.
- Sem política publicada, o recebedor fica no escuro. Se o domínio não diz quem pode enviar por ele nem o que fazer quando a conferência falha, cada provedor decide por conta própria, e a mensagem forjada tende a passar.
As quatro formas de se passar pela sua empresa
- Domínio idêntico O endereço exibido é exatamente o da empresa. É a falsificação pura, a que o DMARC bloqueia, e a única que a empresa consegue neutralizar sozinha, publicando os registros certos: todo provedor que aplica a política passa a rejeitá-la.
- Domínio parecido Um domínio de verdade, registrado pelo criminoso, que se parece com o real por uma letra trocada, um hífen a mais ou outra terminação. Como o domínio é dele, ele publica autenticação impecável e passa em todas as conferências.
- Nome de exibição O endereço é qualquer um, mas o nome que aparece é o do diretor financeiro ou o da empresa. Funciona porque o celular mostra o nome e esconde o endereço.
- Conta legítima invadida Aqui não há falsificação: a mensagem sai mesmo da caixa da pessoa, com credencial roubada. Passa em toda a autenticação, e por isso é a mais difícil de barrar por registro de DNS.
O que está em jogo quando usam o seu nome
O prejuízo de uma falsificação raramente cai sobre quem recebeu a mensagem: cai sobre a empresa cujo nome foi usado. Um cliente que paga um boleto adulterado acreditando ter recebido a cobrança do fornecedor de sempre cobra desse fornecedor, não do criminoso. Um funcionário que transfere dinheiro porque o diretor pediu por e-mail transforma o nome do diretor em instrumento de fraude. E o efeito acumulado é mais silencioso: cada mensagem forjada que circula em nome do domínio degrada a reputação dele junto aos provedores, até que o e-mail legítimo da empresa, a proposta comercial e a nota fiscal comecem a cair em spam. É por isso que a autenticação deixou de ser assunto técnico e virou exigência de mercado: desde 2024 no Gmail e desde 2025 na Microsoft, quem manda em grande volume para as caixas pessoais desses provedores e não autentica simplesmente não é entregue.
Como impedir que falsifiquem o seu domínio
Não existe um botão para desligar a falsificação, mas existe uma sequência que fecha a porta do domínio idêntico, que é a forma mais perigosa:
- Levante quem envia em seu nomeAntes de publicar qualquer registro, mapeie tudo que envia com o domínio: o correio corporativo, o sistema de gestão, a ferramenta de marketing, o emissor de notas, o formulário do site. Registro publicado sem esse inventário derruba e-mail legítimo.
- Publique o SPF e feche a listaDeclare no DNS quais servidores podem enviar pelo domínio e termine a lista com a instrução de recusa. A instrução fraca, que apenas marca a falha, é ignorada por boa parte dos filtros.
- Assine as mensagens com DKIMA assinatura criptográfica prova que a mensagem saiu de quem controla o domínio e que ninguém alterou o conteúdo no caminho. É o que sustenta a autenticação quando a mensagem é repassada adiante sem alteração.
- Publique o DMARC e leia os relatóriosÉ o DMARC que amarra os dois anteriores ao remetente que a pessoa vê, e que devolve, todo dia, um relatório de quem vem enviando em nome do domínio. Comece observando, com os relatórios chegando a uma caixa que alguém realmente lê.
- Suba para bloqueio quando a medição permitirObservar é o meio do caminho, não o destino. Quando o relatório mostrar que todo envio legítimo está passando, mude a política para quarentena e depois para rejeição. Domínio parado em observação continua falsificável.
Na prática
Falsificar o seu domínio não exige invadir a sua empresa, e é por isso que o seu antivírus e o seu firewall não veem nada acontecendo. A defesa contra a falsificação não mora no seu ambiente: mora em três registros publicados no DNS do seu domínio, que dizem ao mundo inteiro o que fazer com uma mensagem que se diz sua e não é.
Como a Zamak trata a falsificação de e-mail
A Zamak Technologies trata autenticação de domínio como medição, não como formulário: inventário de quem envia, publicação em observação, leitura dos relatórios e promoção para bloqueio só com evidência de que nada legítimo está sendo perdido, ao lado da equipe que já cuida do domínio e não no lugar dela. A verificação de falsificação de e-mail mostra, em segundos e sem cadastro, o que o seu domínio declara hoje ao resto do mundo. O acompanhamento contínuo dessa postura faz parte da Segurança de E-mail Gerenciada e da Cibersegurança gerenciada do Método Zamak.