Além dos protocolos de e-mail: por que SPF, DKIM e DMARC não são suficientes contra deepfakes

By Mirko Peters · 2026-08-26

Quando se trata de proteger as caixas de entrada corporativas, as organizações há muito tempo dependem dos protocolos padrão de autenticação de e-mail como principal escudo. Se você passou algum tempo na área de segurança de TI, conhece a santíssima trindade da defesa de e-mail…

Automatically translated with AI from the original post. Read the English original

Quando se trata de proteger as caixas de entrada corporativas, as organizações há muito tempo dependem dos protocolos padrão de autenticação de e-mail como principal escudo. Se você passou algum tempo na área de segurança de TI, conhece a santíssima trindade da defesa de e-mail: Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting, and Conformance (DMARC). Por anos, configurar esses registros corretamente significava bloquear com eficácia a falsificação de domínio, manter os e-mails de phishing afastados e garantir que as mensagens que afirmavam vir da sua organização realmente tivessem origem em uma infraestrutura autorizada. Mas o cenário de cibersegurança mudou radicalmente, e as ferramentas em que confiamos por décadas agora enfrentam um ponto cego sem precedentes.

Chega a era da inteligência artificial e da mídia sintética. Os criminosos cibernéticos não dependem mais apenas de e-mails de phishing grosseiros, cheios de erros de digitação. Em vez disso, eles usam IA generativa avançada para executar ataques sofisticados de Business Email Compromise (BEC) potencializados por deepfakes. Essas ameaças contornam com facilidade as verificações técnicas dos protocolos tradicionais, porque o problema não é mais apenas quem enviou o e-mail, e sim a intenção maliciosa escondida no conteúdo, que os protocolos técnicos simplesmente não conseguem ler. Neste post, vamos explorar por que a sua pilha atual de segurança de e-mail está ficando aquém diante das ameaças de deepfake e o que a sua organização precisa fazer para construir uma defesa realmente resiliente.

Introdução à segurança de e-mail e às ameaças de deepfake

Para entender a dimensão do desafio, primeiro precisamos observar como os atores de ameaça se adaptaram. Os protocolos tradicionais de segurança de e-mail foram criados para uma internet mais simples. Eles foram projetados para impedir que agentes mal-intencionados sequestrassem o nome do seu domínio ou injetassem cabeçalhos falsos nas mensagens. Quando implementados corretamente, DMARC, SPF e DKIM criam um ciclo de verificação robusto que informa aos servidores receptores se um e-mail tem autorização e integridade. No entanto, esses protocolos são, essencialmente, validadores de infraestrutura, e não árbitros de conteúdo. Eles não leem o texto, não ouvem o áudio anexado e não avaliam se a pessoa que pede uma transferência bancária é realmente quem diz ser.

À medida que as ferramentas de inteligência artificial se democratizaram, a barreira de entrada para criar mídia sintética hiper-realista caiu drasticamente. Os atacantes agora podem coletar vídeos públicos, gravações de conferências e mensagens de voz de executivos para clonar suas vozes e aparências com precisão impressionante. As estatísticas mostram um crescimento alarmante dessas táticas. Em 2023, menos de 5% dos ataques de Business Email Compromise incorporavam tecnologia de deepfake. Até 2026, esse número subiu para 40%. Além disso, o FBI registrou um aumento de 25% ano a ano em ataques BEC habilitados por deepfake, e o total de incidentes de deepfake cresceu mais de 300% ao ano. Quando um atacante consegue combinar um e-mail com autenticação perfeita a um clone de voz ou a um deepfake de vídeo em tempo real, os filtros de e-mail padrão tornam-se praticamente inúteis.

Ataques BEC com deepfake explicados

O que é BEC com deepfake

Você provavelmente conhece o Business Email Compromise tradicional, em que um fraudador se passa por um fornecedor ou por um executivo do C-level para solicitar pagamentos urgentes ou dados sensíveis. O BEC com deepfake pega esse mesmo roteiro malicioso e o potencializa com inteligência artificial. Em vez de parar em uma mensagem de texto ou em um e-mail, os atacantes tecem áudio, vídeo ou elementos conversacionais sintéticos ao longo da cadeia de ataque. Eles podem imitar o ritmo exato, o sotaque e os trejeitos vocais do seu CEO ou do diretor financeiro. Esses ataques não tentam enganar você com um endereço de e-mail cheio de erros; em vez disso, exploram a sua confiança, fazendo você acreditar que está interagindo diretamente com uma figura de autoridade conhecida, por voz ou vídeo.

Como o BEC com deepfake se diferencia das ameaças tradicionais

O diferenciador fundamental entre o BEC tradicional e o BEC com deepfake moderno é o meio da enganação. As ameaças tradicionais dependem totalmente de manipulação baseada em texto. Se você receber um e-mail do seu chefe pedindo para comprar cartões-presente ou transferir recursos, seus alarmes internos podem disparar caso o tom pareça um pouco estranho. O BEC com deepfake quebra esses mecanismos tradicionais de detecção ao introduzir áudio ou vídeo realistas. Você pode atender uma ligação que soa indistinguível do seu gerente, ou participar de uma videoconferência rápida em que um avatar sintético acena com a cabeça enquanto fala com a voz do seu diretor. Essa abordagem multicanal explora a tendência humana natural à confiança e à urgência de um jeito que filtros de texto simplesmente não conseguem detectar.

A tecnologia deepfake mudou as ameaças de BEC ao permitir que criminosos se façam passar por figuras de autoridade de forma mais convincente. Isso facilita a manipulação de você e a burla de filtros de segurança tradicionais.

Veja a seguir uma tabela com as principais diferenças:

Ataques de BEC com deepfake podem manipular você com mais eficácia por causa da voz ou do vídeo realistas. Eles exploram urgência e autoridade, o que os torna mais perigosos do que o phishing tradicional. Verificações internas de segurança frequentemente falham em barrar esses ataques, o que aumenta o risco para sua organização.

O papel da IA no BEC com deepfake

A inteligência artificial é o motor por trás dessas fraudes complexas. Agentes de ameaça usam modelos de IA para coletar dados de sites corporativos, perfis em redes sociais e gravações de teleconferências de resultados financeiros, com o objetivo de obter dados de treinamento sobre pessoas-chave da empresa. Eles clonam vozes e estilos de escrita para garantir que o primeiro contato de phishing pareça autêntico. Uma campanha típica de BEC com deepfake segue uma progressão calculada:

1. Os atacantes coletam informações de OSINT (Open Source Intelligence, ou inteligência de fontes abertas) sobre seus executivos e a hierarquia da empresa.
2. Eles alimentam modelos de IA com amostras de áudio e vídeo para gerar clones de voz convincentes ou recursos de vídeo deepfake.
3. E-mails de phishing personalizados ou mensagens de apresentação são enviados aos alvos, muitas vezes passando por todas as verificações técnicas de autenticação.
4. Os atacantes intensificam a interação passando para ligações telefônicas, mensagens de voz ou reuniões por vídeo para reforçar a pressão.
5. O objetivo final é alcançado quando a vítima transfere recursos ou entrega credenciais acreditando estar atendendo a uma aprovação de executivo.

Grandes instituições financeiras e empresas têm relatado incidentes alarmantes envolvendo fraudes com clonagem de voz que contornaram os controles de segurança padrão. Em um caso notável, um funcionário transferiu valores significativos após interagir com um fluxo de áudio deepfake. O BEC com deepfake não é apenas uma evolução do phishing; é uma categoria inteiramente nova de fraude sintética.

SPF, DKIM e DMARC: como funcionam

Visão geral do SPF

Para entender por que esses protocolos falham contra deepfakes, primeiro precisamos revisar o que eles realmente fazem. O SPF, ou Sender Policy Framework, verifica se o servidor de e-mail que transmite uma mensagem tem autorização explícita para enviar e-mails em nome de um domínio específico. Quando um e-mail chega ao seu gateway, o sistema receptor verifica os registros DNS do domínio em busca de uma entrada SPF. Se o endereço IP do servidor remetente estiver na lista aprovada, a mensagem passa no SPF. Embora esse mecanismo barre falsificações básicas, em que atacantes forjam o domínio no envelope, ele ignora completamente o endereço "De" visível para o usuário final, deixando bastante espaço para engenharia social.

Visão geral do DKIM

O DKIM, ou DomainKeys Identified Mail, introduz validação criptográfica na equação. Ele anexa uma assinatura digital aos e-mails de saída, que o sistema de e-mail receptor verifica usando uma chave pública publicada nos registros DNS do domínio. Se a assinatura corresponder, você tem prova criptográfica de que o conteúdo da mensagem não foi alterado durante o trajeto. Embora o DKIM garanta a integridade da mensagem, ele não consegue informar nada sobre a intenção do remetente. Atacantes frequentemente aproveitam contas de e-mail legítimas comprometidas, que naturalmente passam nas assinaturas DKIM, para lançar campanhas de phishing convincentes ou preparar o terreno para uma escalada com deepfake.

Visão geral do DMARC

O DMARC reúne SPF e DKIM em um framework de política unificado. Ele permite que os proprietários de domínio definam instruções para os servidores de e-mail receptores sobre como tratar mensagens que falham nas verificações de SPF ou DKIM, além de fornecer relatórios forenses valiosos. O DMARC protege o cabeçalho "De" visível, impedindo efetivamente a falsificação do domínio exato. Embora seja um controle de referência essencial para qualquer organização, o DMARC não analisa o conteúdo semântico nem a intenção psicológica de uma mensagem. Um atacante pode registrar facilmente um domínio parecido, configurar registros válidos de SPF, DKIM e DMARC para esse domínio fraudulento e, então, usar IA para criar golpes com deepfake que passam direto pelo seu gateway protegido por DMARC.

Dica: SPF, DKIM e DMARC funcionam melhor juntos. Eles bloqueiam muitos e-mails de phishing, mas não conseguem detectar ameaças de deepfake que usam áudio ou vídeo para enganar você.

Aqui está uma tabela que resume as principais funções desses protocolos:

Você deve usar esses protocolos como parte da sua defesa, mas sempre fique atento a ataques de deepfake e phishing que podem contornar controles técnicos.

O que esses protocolos protegem

É fundamental manter uma visão clara dos limites da autenticação de e-mail. SPF, DKIM e DMARC foram projetados exclusivamente para proteger sua infraestrutura de mensagens contra personificação na camada de transporte. Eles garantem que mensagens que se apresentam como vindas do seu domínio estejam de fato vinculadas aos seus servidores de e-mail e que o texto não tenha sido adulterado durante o trajeto.

Vamos detalhar o que cada protocolo cobre:

• O SPF verifica se o e-mail vem de um servidor autorizado, bloqueando remetentes não autorizados de usar o nome do seu domínio.
• O DKIM adiciona uma assinatura digital, garantindo que o corpo e os cabeçalhos da mensagem permaneçam inalterados desde o envio.
• O DMARC operacionaliza SPF e DKIM, definindo políticas de quarentena ou rejeição para mensagens que falham e entregando relatórios de visibilidade.

Aqui está uma tabela para ajudar você a ver o que esses protocolos protegem:

Principalmente, nenhum desses protocolos avalia o conteúdo cognitivo de um e-mail nem os canais de comunicação secundários que um atacante pode usar. Se um e-mail passa em todas as verificações técnicas por ter origem em uma conta de fornecedor comprometida, e essa mensagem é seguida de uma ligação com deepfake, seus protocolos de autenticação de e-mail mostrarão um quadro perfeito enquanto sua organização sofre uma violação de segurança catastrófica.

Nota: SPF, DKIM e DMARC ajudam a bloquear muitos e-mails de phishing, mas não protegem contra ataques de deepfake nem fraudes avançadas. Você precisa de camadas extras de segurança para se defender dessas ameaças modernas.

Você deve permanecer vigilante diante da evolução do phishing. Os protocolos de autenticação são uma base necessária, mas são totalmente insuficientes por si só quando se trata de fraudes modernas.

Limitações para BEC com deepfake

Autenticação do remetente x verificação de conteúdo

A principal vulnerabilidade de depender apenas de protocolos como o DMARC é o abismo evidente entre autenticação do remetente e verificação de conteúdo. SPF, DKIM e DMARC verificam o alinhamento técnico, mas permanecem completamente cegos ao conteúdo malicioso. Um atacante pode autenticar com sucesso um e-mail por meio de um domínio parecido ou recém-registrado, atendendo a todos os requisitos do DMARC, enquanto o corpo da mensagem contém um gancho de engenharia social finamente elaborado por inteligência artificial.

Como esses protocolos operam exclusivamente nas camadas de transporte e DNS, eles não conseguem detectar quando a identidade de um executivo está sendo usada como arma no texto. Essa lacuna permite que criminosos cibernéticos criem iscas de phishing altamente convincentes que contornam completamente os filtros de e-mail tradicionais. O protocolo verifica a infraestrutura, mas não sabe nada sobre o ser humano que supostamente está por trás do teclado.

Aqui está uma tabela com as principais limitações:

Entender essas restrições mostra por que as equipes de segurança não podem se dar ao luxo de relaxar. A autenticação técnica garante a higiene da entrega de e-mails, mas não faz nada para impedir fraudes deepfake ou comprometimento de e-mail corporativo (BEC) originadas de fontes autenticadas.

Por que os ataques BEC com deepfake são bem-sucedidos

Os ataques BEC com deepfake têm sucesso porque exploram as vulnerabilidades psicológicas dos alvos humanos enquanto contornam sem dificuldades as barreiras técnicas. Quando um funcionário recebe um e-mail que passa por todas as verificações de segurança, acompanhado de uma mensagem de voz ou um vídeo que soa e parece idêntico ao do seu gestor, as defesas cognitivas enfraquecem. Além disso, vulnerabilidades estruturais no roteamento global de e-mails, como as explorações de SMTP smuggling que afetam diversos serviços de e-mail públicos e privados, historicamente permitiram que atacantes sofisticados contornassem completamente os gateways de autenticação.

Considere as métricas sobre a confiança de executivos e líderes de segurança:

• 60% dos líderes de cibersegurança não confiam em sua capacidade de combater ataques deepfake.
• 38% avaliam o treinamento tradicional de conscientização como moderadamente eficaz ou pior contra áudio deepfake.
• 39% avaliam o treinamento como moderadamente eficaz ou pior contra vídeo deepfake.
• 28% acreditam que o phishing gerado por IA ainda está em sua fase inicial.
• 25% classificam os ataques de áudio deepfake como ameaças em estágio inicial, com enorme espaço para escalada.

Essa falta de confiança tem fundamento. Os atacantes estão combinando mídia sintética em múltiplos canais com e-mails perfeitamente autenticados, criando uma receita para fraude que derrota as posturas de segurança tradicionais.

Equívocos comuns sobre segurança

Um mito persistente na administração de TI é que alcançar uma política DMARC p=none oferece proteção de segurança concreta. Na prática, p=none é apenas um estado de monitoramento, destinado à coleta de dados de relatórios; ele não bloqueia e-mails não autenticados ou falsificados. As organizações precisam evoluir para p=quarantine ou p=reject para aplicar limites de proteção.

Outro equívoco comum é que domínios transacionais ou de uso exclusivamente interno não precisam de autenticação rigorosa. Deixar esses domínios desprotegidos cria brechas laterais que os atacantes podem explorar. Por fim, muitos administradores presumem que implementar o DMARC é excessivamente complexo, enquanto as ferramentas modernas de implantação e as orientações automatizadas simplificaram bastante a conformidade.

Aqui está uma tabela que esclarece os mitos mais comuns:

Observação: é preciso entender que os ataques BEC com deepfake podem contornar os protocolos tradicionais. Você precisa combinar controles técnicos com conscientização humana e ferramentas avançadas de detecção. Os atacantes usam a tecnologia deepfake para criar mensagens de phishing convincentes. Você deve manter a vigilância e atualizar suas práticas de segurança para se defender de fraudes modernas.

Métodos de ataque BEC com deepfake

Cenários do mundo real

Ataques de deepfake já não são cenários de ficção científica teóricos. Em janeiro de 2024, a Arup, uma empresa multinacional de engenharia, foi vítima de uma fraude de deepfake impressionante. Os atacantes usaram deepfakes de áudio e vídeo em tempo real durante uma videoconferência para se passar pelo diretor financeiro da empresa e por outros executivos seniores. Os avatares e as vozes sintéticos eram tão convincentes que funcionários da área financeira transferiram voluntariamente US$ 25 milhões em múltiplas transações. Esse caso marcante provou que agentes de ameaça sofisticados estão, de fato, combinando mídias sintéticas em vários canais para contornar completamente os fluxos de verificação corporativos padrão e as boas práticas de segurança.

Técnicas de deepfake em BEC

Os fraudadores dependem muito da personificação de executivos de alto escalão porque as hierarquias organizacionais naturalmente induzem à obediência. Quando um agente de ameaça clona com sucesso a voz ou a imagem em vídeo de um CEO, de um chefe de divisão ou de um diretor financeiro, ele usa essa autoridade contra funcionários de níveis inferiores que cuidam de transações financeiras sensíveis. Essas técnicas geram perdas financeiras enormes de forma consistente, porque eliminam o ceticismo racional.

Campanhas de BEC com deepfake normalmente combinam várias táticas sobrepostas:

• Clonagem de voz sintética aplicada por meio de ligações telefônicas ou mensagens de voz deixadas na caixa postal.
• Manipulação de vídeo em tempo real durante reuniões virtuais para simular a presença de um executivo.
• Redação de e-mails assistida por IA que reproduz exatamente o estilo de comunicação e o vocabulário do executivo alvo.
• Ataques coordenados em múltiplos canais, nos quais um e-mail autenticado é imediatamente reforçado por uma ligação telefônica com deepfake.

Fatores humanos no BEC com deepfake

Em última análise, o BEC com deepfake mira a psicologia humana, e não o código técnico. Os atacantes se apoiam fortemente em princípios bem estabelecidos de engenharia social para levar as vítimas a uma obediência imediata.

Mantenha a cautela. O BEC com deepfake não é apenas um problema técnico. Ele mira a sua confiança, os seus hábitos e a sua disposição em ajudar.

Como se defender do BEC com deepfake

Treinamento de funcionários

Como o BEC com deepfake mira a percepção humana, a conscientização dos funcionários continua sendo uma linha de defesa essencial. No entanto, o treinamento tradicional focado apenas em identificar erros gramaticais ou cabeçalhos de e-mail suspeitos já não é suficiente. As organizações precisam investir em plataformas de treinamento com simulação imersiva de deepfake, que expõem a equipe a cenários de mídia sintética em um ambiente controlado. Ao vivenciar, durante o treinamento, videochamadas simuladas com deepfake ou clones de voz de executivos sintéticos, os funcionários desenvolvem o reflexo necessário para pausar, refletir e verificar solicitações incomuns antes de agir.

Detecção avançada de ameaças

A tecnologia deve complementar a conscientização humana. As arquiteturas de segurança modernas incorporam sistemas avançados de detecção de ameaças baseados em inteligência artificial e aprendizado de máquina. Essas ferramentas analisam linhas de base comportamentais em todos os canais de comunicação para sinalizar anomalias que os filtros de e-mail padrão não detectam.

Verificação fora de banda

Uma das contramedidas mais simples e, ao mesmo tempo, mais eficazes contra o BEC com deepfake é seguir rigorosamente os protocolos de verificação fora de banda. Sempre que um funcionário receber uma solicitação urgente ou de alto risco envolvendo transferências bancárias, compartilhamento de credenciais ou exceções a políticas, independentemente de quão autêntico pareçam o e-mail, a voz ou a videochamada, ele deve confirmar a solicitação por meio de um canal independente e previamente estabelecido.

• A verificação fora de banda exige confirmar solicitações incomuns por um segundo meio de comunicação independente, como ligar de volta para um ramal corporativo interno conhecido.
• Os usuários devem validar instruções sensíveis por meio de dois caminhos separados e pré-aprovados, para garantir que um canal principal comprometido não comprometa todo o ciclo de verificação.

Melhorias nas políticas

Os controles técnicos e o treinamento precisam ser sustentados por políticas organizacionais rigorosas. Revise a estrutura de governança corporativa para garantir que ações financeiras e administrativas de alto risco exijam fluxos de aprovação com mais de uma pessoa e controles de acesso baseados em funções bem definidos. Estabeleça procedimentos de denúncia claros, para que os funcionários se sintam à vontade para sinalizar comunicações suspeitas sem medo de represálias.

Dica: políticas claras ajudam a impedir ataques de phishing e deepfake. Quando todos conhecem as regras, você reduz erros e mantém sua organização protegida.

Solução Microsoft Entra Verified ID

Como o Entra Verified ID funciona

Para resolver de fato a crise de BEC com deepfake, as organizações precisam migrar de uma confiança baseada em reconhecimento para uma verificação criptográfica e baseada em evidências. O Microsoft Entra Verified ID oferece uma solução robusta de identidade descentralizada, que permite às organizações verificar criptograficamente tanto a identidade quanto a autoridade de uma pessoa antes de conceder acesso ou aprovar ações de alto risco.

O Entra Verified ID integra mecanismos de verificação visual, incluindo a checagem de documento de identidade com foto emitido pelo governo e a detecção de vivacidade durante o onboarding, garantindo que a pessoa que apresenta a credencial esteja fisicamente presente e verificada. Ao combinar atestação de dispositivo, biometria comportamental e credenciais verificáveis, você elimina as vulnerabilidades associadas a confiar apenas em uma voz ou um rosto familiar.

Observação: o Entra Verified ID não substitui seus controles atuais. Ele adiciona uma camada forte, focada em comprovação, e não apenas em reconhecimento.

Verificação de autoridade versus verificação de identidade

A verificação de identidade confirma quem é a pessoa, mas a verificação de autoridade determina se essa pessoa tem o mandato específico para executar uma transação de alto risco. O Entra Verified ID utiliza uma arquitetura emissor-titular-verificador, que dá às organizações controle preciso sobre a emissão e a revogação de credenciais.

Integrando o Entra Verified ID à segurança existente

Você não precisa descartar seus investimentos atuais em segurança do Microsoft 365 para adotar o Entra Verified ID. Ele se integra facilmente à sua estratégia de Zero Trust, funcionando em conjunto com políticas de acesso condicional, proteção de endpoints e análise avançada de ameaças. Ao exigir uma credencial verificável para fluxos sensíveis, como grandes transferências financeiras ou substituições administrativas, você neutraliza tentativas de BEC com deepfake, porque um invasor não consegue falsificar a autoridade criptográfica.

Dica: use o Entra Verified ID para confirmar tanto a identidade quanto a autoridade. Esse passo ajuda a impedir ataques de BEC com deepfake e mantém sua organização protegida.

Você não pode depender apenas de SPF, DKIM e DMARC para impedir ataques de BEC com deepfake. Essas ferramentas não bloqueiam domínios semelhantes nem a personificação feita por IA.

SPF, DKIM e DMARC não impedem ataques com domínios parecidos, ataques com domínios "primos" ou a personificação por meio de contas de webmail gratuitas. Esses protocolos dependem do julgamento humano, que pode ser facilmente manipulado por conteúdo gerado por IA.
Você precisa de uma defesa em múltiplas camadas. Comece com a conscientização dos funcionários, a gestão de riscos e as boas práticas. Adicione soluções avançadas, como o Microsoft Entra Verified ID, para a verificação de autoridade.

• Em 2024, ataques de BEC causaram prejuízos de US$ 2,9 bilhões somente nos Estados Unidos.
• O custo médio de um golpe BEC foi de US$ 137.132 por incidente individual.
  Use simulações de phishing, monitoramento contínuo e treinamentos regulares para medir suas defesas e manter sua organização segura.

🎧 Ouça este episódio

Quer uma explicação prática sobre Stop Deepfake Business Email Compromise with Verified ID? Este episódio explica o tema em linguagem clara e mostra por que ele importa para Microsoft 365, Azure, Power Platform, segurança, IA e o trabalho moderno.

Ouça este episódio se você quer:

• Entender os conceitos-chave por trás de Stop Deepfake Business Email Compromise with Verified ID
• Ver como isso se encaixa no ecossistema mais amplo de tecnologias da Microsoft
• Descobrir onde isso pode gerar valor prático para a sua organização

Você também pode gostar destes episódios relacionados do M365 FM:

• Service Principal Security: Stop Using Personal Accounts
• Interrompa a injeção de prompt no Microsoft Copilot com o Azure Logic Apps
• Stop Outsourcing Human Judgment to Microsoft Copilot
• Interrompa a entropia de custos do Azure com controles de responsabilidade e de orçamento
• Como impedir que agentes de IA excluam e-mails importantes

Descubra mais conversas práticas sobre Microsoft em M365 FM.