Falsificação de E-mail

A falsificação de e-mail (email spoofing) é a falsificação do endereço do remetente de um e-mail para que a mensagem pareça vir de alguém que não a enviou. Como o protocolo SMTP clássico nunca verificou quem tinha autorização para usar um domínio na linha From, um invasor pode colocar o seu domínio em um e-mail que envia a partir do servidor dele — e, sem os registros DNS corretos em vigor, os servidores de recebimento não têm como detectar isso de forma confiável. A falsificação é o motor por trás da maioria dos ataques de phishing, comprometimento de e-mail corporativo (BEC) e fraude de faturas, e a defesa é o mesmo trio de registros DNS em torno do qual este site é construído: SPF, DKIM e DMARC.

Como funciona a falsificação de e-mail

Todo e-mail carrega, na verdade, duas identidades de remetente. Existe o remetente de envelope (o endereço MAIL FROM usado durante a conversa SMTP) e o From do cabeçalho (o endereço amigável que seu cliente de e-mail exibe). Os invasores exploram a lacuna entre eles:

1. O invasor se conecta a um servidor de e-mail e inicia uma sessão SMTP normal.
2. Nos cabeçalhos da mensagem, ele simplesmente escreve o seu domínio no campo From — nada o impede de digitar billing@yourcompany.com.
3. O servidor de recebimento entrega a mensagem. A menos que o seu domínio publique registros de autenticação, o destinatário vê um remetente de aparência confiável e nenhum aviso.

Nada é “hackeado” em um ataque de falsificação — nenhuma senha é roubada e nenhum servidor é violado. O invasor está abusando do fato de que, por padrão, um domínio não declara quais servidores têm permissão para enviar em seu nome. Essa declaração é exatamente o que SPF, DKIM e DMARC fornecem.

Os principais tipos de falsificação de e-mail

A falsificação aparece em várias formas distintas, cada uma com seu próprio sinal e sua própria solução:

• Falsificação de domínio — o invasor falsifica o seu domínio exato no endereço From. É isso que SPF, DKIM e DMARC previnem diretamente.
• Falsificação de nome de exibição — o nome visível diz “Seu CEO” enquanto o endereço real por trás dele é uma conta de webmail gratuita. O DMARC não consegue bloquear isso sozinho, porque o domínio de envio é genuinamente do invasor.
• Domínios semelhantes / primos — as mensagens vêm de yourcompany-support.com ou yourcompanny.com, domínios que o invasor realmente possui e pode autenticar. Derrotar esses casos exige monitoramento e conscientização dos usuários, não apenas SPF.
• Falsificação de eco / cadeia de resposta — os invasores reutilizam uma conversa real, enviada anteriormente, para fazer com que uma resposta falsificada pareça legítima.

Saber qual tipo você está enfrentando indica se os registros de autenticação o deterão totalmente ou se você também precisa de ferramentas de proteção e monitoramento.

Como SPF, DKIM e DMARC impedem a falsificação

Os três registros funcionam como uma verificação em camadas de cada mensagem recebida:

• SPF publica a lista de endereços IP autorizados a enviar e-mails para o seu domínio. Um receptor verifica se o servidor de envio está nessa lista. Crie e audite o seu com o Verificador de SPF.
• DKIM adiciona uma assinatura criptográfica que prova que a mensagem não foi alterada e realmente veio do seu domínio.
• DMARC vincula SPF e DKIM ao endereço From visível (alinhamento) e diz aos receptores o que fazer quando uma mensagem falha — none, quarantine ou reject.

Publicados em conjunto com uma política SPF -all e uma política DMARC p=reject, eles tornam praticamente impossível para um invasor enviar e-mails com domínio falsificado que cheguem a uma caixa de entrada. Nosso guia completo sobre como prevenir a falsificação de e-mail cobre os registros exatos a serem publicados.

O detalhe: o SPF sozinho não basta — e ele quebra silenciosamente

Publicar o SPF é o primeiro passo, mas o SPF tem um limite rígido de 10 consultas DNS, e cada ESP, CRM e ferramenta de marketing que você autoriza consome parte disso. Ultrapasse o limite e o SPF retorna PermError, o que invalida o registro inteiro — momento em que os e-mails legítimos começam a falhar e, pior, sua proteção contra falsificação cai silenciosamente. Este é o problema que a AutoSPF resolve: ela mantém o seu registro SPF achatado e abaixo do limite automaticamente, para que a autenticação que impede a falsificação permaneça saudável à medida que sua infraestrutura de envio muda. Combine-a com DKIM e uma política DMARC p=reject e a falsificação de domínio simplesmente para de funcionar.

Novo nos registros subjacentes? Comece com como criar um registro SPF e a referência de sintaxe de registro SPF, e certifique-se de que o seu se mantenha abaixo do limite de 10 consultas.

Perguntas Frequentes

O que é falsificação de e-mail?

A falsificação de e-mail é forjar o endereço do remetente de um e-mail para que ele pareça vir de uma pessoa ou domínio que não o enviou de fato. Ela se baseia no fato de que o SMTP básico não verifica o endereço From, e é a principal técnica por trás do phishing e do comprometimento de e-mail corporativo. SPF, DKIM e DMARC são os registros DNS que permitem aos receptores detectá-la e rejeitá-la.

O SPF impede a falsificação de e-mail?

O SPF impede que invasores forjem o seu domínio exato ao dizer aos receptores quais servidores podem enviar por ele — mas somente quando combinado com DKIM e uma política DMARC definida como quarantine ou reject, e apenas enquanto o registro SPF permanecer válido abaixo do limite de 10 consultas. O SPF sozinho, ou um registro SPF quebrado, deixa lacunas que os falsificadores exploram.

A falsificação de e-mail pode ser completamente evitada?

A falsificação de domínio — forjar o seu domínio exato — pode ser efetivamente eliminada com SPF, DKIM e uma política DMARC p=reject. A falsificação de nome de exibição e de domínios semelhantes não pode ser bloqueada somente pelos seus registros DNS (o invasor não está usando o seu domínio), portanto esses casos também precisam de conscientização do destinatário e monitoramento.

A falsificação de e-mail é o mesmo que phishing?

Não. A falsificação é uma técnica — forjar o endereço do remetente — enquanto o phishing é o objetivo: enganar alguém para revelar informações ou dinheiro. A maioria dos ataques de phishing usa falsificação, mas não todos. Veja falsificação de e-mail vs phishing para a distinção completa.

Como sei se o meu domínio está sendo falsificado?

Os sinais incluem mensagens de devolução de e-mails que você nunca enviou (backscatter), destinatários relatando e-mails suspeitos do seu domínio e — de forma mais confiável — relatórios agregados de DMARC mostrando e-mails que falham na autenticação a partir de IPs que você não reconhece. Publicar o DMARC (mesmo em p=none) ativa esse relatório.