VBSpam Q3 2026: e-mail autenticado não é prova de segurança contra phishing

Um e-mail que passa nas verificações de autenticação não é, por si só, seguro. A cobertura do teste comparativo VBSpam Q3 2026, da Virus Bulletin, descreve campanhas de phishing que usaram infraestrutura de envio aparentemente legítima e ocultação de URL em várias etapas, adaptada ao navegador. Na prática, o comportamento malicioso pode só aparecer depois que a pessoa clica no link — algo que uma checagem básica do remetente ou da URL inicial talvez não revele.

O teste durou 16 dias, seguiu um plano de testes da AMTSO e avaliou 103.969 e-mails, dos quais 103.380 eram spam. 13

Autenticação confirma parte da origem, não a segurança da mensagem

SPF, DKIM e DMARC são controles importantes: eles ajudam a validar aspectos do caminho de envio e o alinhamento de domínio de uma mensagem. Mas não comprovam que o conteúdo seja legítimo, que um link seja inofensivo ou que a página final aberta após vários redirecionamentos seja segura.

Esse é o ponto central dos casos relatados. Os criminosos exploraram infraestrutura autenticada ou com aparência confiável e deixaram a etapa nociva para um fluxo na web capaz de avaliar navegador, localização ou momento do acesso antes de exibir o destino final. 35

Três padrões de phishing destacados nos relatos sobre o teste

1. Cobrança em atraso enviada pela Amazon SES

Uma campanha em alemão usava o tema de pagamento em atraso e foi distribuída pela Amazon SES, serviço de envio de e-mails da Amazon, a partir de um domínio alinhado ao DKIM. Em vez de um anexo, a mensagem HTML teria empregado marcação de distração, texto oculto, um iframe de tamanho zero e JavaScript ofuscado. 35

O link levava a uma sequência que avaliava o visitante: coletava características do navegador e do fuso horário, fazia uma requisição POST oculta e redirecionava visitantes que atendiam a certos critérios para a OpenSea. O comportamento foi relatado como compatível com fraude disfarçada ligada a criptomoedas ou NFTs, ao mesmo tempo em que dificultava a análise simples da mensagem ou da URL inicial. 35

2. Falsas renovações de McAfee e TotalAV

Em outra campanha, em holandês, os golpistas se passavam por McAfee e TotalAV. A mensagem alertava sobre “631 vírus perigosos” e oferecia uma renovação com desconto. A engenharia social estava toda no HTML, sem depender de um anexo malicioso convencional. 35

O principal recurso de evasão era a entrega condicional: o destino mudava conforme horário, localização ou perfil aparente da vítima. Isso atrapalha verificações automatizadas, porque um scanner pode receber uma página inofensiva, um erro ou uma cadeia de redirecionamento diferente daquela entregue ao alvo. O objetivo relatado era fraude de assinatura. 35

3. Falsa solicitação de consentimento PSD2 do BCR S.A.

Uma mensagem em romeno imitava o BCR S.A. e alegava que o consentimento previsto pela PSD2 — regra europeia de serviços de pagamento — precisava ser renovado. Segundo o relato, o destino foi mascarado com um endereço IPv6 mapeado, técnica que pode tornar mais difícil a interpretação da URL e a análise por ferramentas de segurança. 3

O pretexto de uma renovação obrigatória relacionada a banco cria urgência em um processo financeiro familiar, o que o torna apropriado para tentativas de roubo de credenciais. 3

O phishing está transferindo sua lógica para o navegador

Os exemplos indicam uma mudança importante: o e-mail entregue pode vir de um remetente autenticado, e o link pode não revelar imediatamente sua finalidade. A ação decisiva acontece depois, no navegador:

• HTML e JavaScript dificultam a leitura da estrutura inicial da mensagem;
• cadeias de redirecionamento separam a URL recebida do destino final;
• verificações de navegador, fuso horário, localização e horário podem diferenciar uma possível vítima de um sistema automatizado;
• respostas condicionais podem ocultar o conteúdo mais perigoso de sandboxes e verificações de reputação mais simples. 35

A conclusão não é abandonar a autenticação de e-mail. É tratá-la como um sinal dentro de uma avaliação mais ampla, que considere conteúdo, reputação do remetente, comportamento dos links e risco do destino. 35

Prioridades para a defesa

Com base nos achados relatados, uma estratégia mais robusta de segurança de e-mail precisa analisar o percurso completo — não apenas o primeiro indício.

1. Normalizar URLs ofuscadas. Decodificar e padronizar formatos incomuns de endereço antes de aplicar políticas ou consultar reputação.
2. Seguir toda a cadeia de redirecionamentos. Avaliar cada etapa e a página de destino, em vez de examinar apenas o link original.
3. Analisar o comportamento no navegador. Identificar redirecionamentos condicionais, fingerprinting, requisições ocultas e outras ações que só aparecem após a execução da página.
4. Manter a autenticação em contexto. SPF, DKIM e DMARC devem contribuir para a decisão, mas não podem se sobrepor a sinais de conteúdo ou destino malicioso.
5. Medir falsos positivos junto com a detecção. Bloquear ameaças é essencial, mas barrar e-mails legítimos também gera risco operacional. 35

Resultados reportados variaram bastante entre os produtos

Os resultados compostos divulgados apontam que níveis muito altos de detecção foram possíveis entre os produtos mais bem colocados, mas o desempenho não foi uniforme. O Net at Work NoSpamProxy registrou nota final de 99,995, sem falsos positivos; o Bitdefender GravityZone Premium marcou 99,994; e o SEPPmail.cloudfilter, 99,985. Já o Rspamd foi reportado com 62,5%. 35

Esses números representam os resultados desse teste comparativo específico, não uma garantia universal de desempenho em qualquer ambiente. Ainda assim, a distância entre os resultados reforça a lição prática: lidar com remetentes autenticados, URLs ofuscadas e fluxos condicionais no navegador exige inspeção em camadas, e não dependência de um único controle. 135

Em resumo

O VBSpam Q3 2026 ilustra um modelo de phishing baseado em uma assimetria: os atacantes podem fazer o e-mail parecer aceitável no momento da entrega e revelar a fraude apenas quando o navegador da vítima atende às condições definidas. A autenticação do remetente continua necessária como prática de higiene de segurança, mas a decisão de confiança precisa alcançar toda a cadeia de redirecionamentos e a experiência final na web. 35