Spoofing de e-mail é quando alguém envia uma mensagem fingindo ser você — ou a sua empresa. É a base de quase todo golpe de phishing, e funciona porque o e-mail, do jeito que foi criado, não exige nenhuma prova de identidade do remetente.
Como o spoofing é possível
Pense no campo "De" de um e-mail como o remetente escrito no verso de um envelope: qualquer pessoa pode escrever o que quiser ali. O protocolo de e-mail (SMTP) nasceu nos anos 80, numa época de confiança, e simplesmente não validava quem estava enviando. Resultado: até hoje, sem proteção, qualquer um pode colocar [email protected] no remetente e disparar mensagens.
Os tipos mais comuns
1. Falsificação do domínio exato
O criminoso usa o seu domínio real (@suaempresa.com.br) no remetente. É o mais perigoso, porque é indistinguível de um e-mail legítimo — e é exatamente o que o DMARC bloqueia.
2. Falsificação do nome de exibição
O e-mail vem de um endereço qualquer, mas o nome exibido é "Financeiro Suaempresa". No celular, onde só aparece o nome, a vítima nem percebe o endereço real.
3. Domínios parecidos (lookalike / cousin domains)
Em vez do seu domínio, usam um quase igual: suaempreza.com.br, sua-empresa.com ou suaempresa.com.br.co. Como o domínio é tecnicamente "deles", passa na autenticação dele.
Como o DMARC bloqueia o spoofing
O DMARC resolve diretamente o tipo mais grave — a falsificação do domínio exato. Com ele em p=reject, um e-mail que diz vir do seu domínio mas não passa na autenticação (SPF e DKIM) é recusado antes de chegar à caixa de entrada da vítima.
Sem DMARC, o provedor não tem como saber se aquele "[email protected]" é real. Com DMARC, ele tem a regra e a aplica.
Como se proteger (checklist)
- Implemente SPF, DKIM e DMARC e leve o DMARC até
p=reject. - Monitore os relatórios para ver tentativas de abuso em tempo real.
- Registre domínios parecidos (defensivos) e fique de olho em variações.
- Treine o time, especialmente o financeiro, contra o golpe do "e-mail do chefe" (BEC).
- Use DMARC nos domínios "parados" também — domínios que não enviam e-mail devem ter SPF
-alle DMARCp=rejectpara não serem sequestrados.
Comece agora
O primeiro passo é saber se o seu domínio já está protegido contra falsificação: