E-mail falsificado: entenda o spoofing e por que remetente conhecido não é garantia

Você recebe um e-mail do seu banco, do seu chefe ou até de um familiar, com o remetente exibindo exatamente o nome e o endereço que você conhece. Tudo parece legítimo à primeira vista. O problema é que, na internet, o campo “De:” de um e-mail pode ser falsificado com relativa facilidade, um golpe conhecido como spoofing de e-mail. Entender como esse truque funciona é essencial para não confiar cegamente em mensagens só porque o remetente parece familiar.

Este artigo explica, de forma didática, como o spoofing de e-mail funciona tecnicamente, por que ele continua sendo tão eficaz mesmo em 2025, quais são os sinais que ajudam a identificá-lo e quais tecnologias existem para combatê-lo — tanto do lado de quem envia quanto de quem recebe.

Como funciona o protocolo de e-mail e por que ele é vulnerável#

O e-mail foi criado nos anos 1970 e 1980, numa época em que a internet era uma rede pequena, usada majoritariamente por instituições acadêmicas e militares que confiavam umas nas outras. O protocolo básico de envio de e-mails, o SMTP (Simple Mail Transfer Protocol), não foi projetado com verificação de identidade robusta desde o início. Isso significa que, tecnicamente, é possível montar uma mensagem informando qualquer endereço de remetente, mesmo que você não tenha acesso àquela conta — de forma parecida com escrever qualquer nome de remetente no envelope de uma carta física.

Com o crescimento da internet e dos golpes digitais, foram criados mecanismos de verificação adicionais, mas eles só funcionam quando corretamente configurados pelo domínio que está sendo falsificado — e nem toda empresa, principalmente pequenos negócios, configura essas proteções.

SPF, DKIM e DMARC: as três camadas de defesa contra spoofing#

Existem três tecnologias principais criadas para reduzir o spoofing de e-mail:

• SPF (Sender Policy Framework): permite que o dono de um domínio publique uma lista de servidores autorizados a enviar e-mails em nome dele. Se um e-mail chegar de um servidor fora dessa lista, ele pode ser marcado como suspeito.
• DKIM (DomainKeys Identified Mail): adiciona uma assinatura criptográfica a cada e-mail enviado, permitindo que o servidor de destino verifique se a mensagem realmente saiu do domínio informado e não foi alterada no caminho.
• DMARC (Domain-based Message Authentication): une SPF e DKIM numa política que informa aos servidores de e-mail o que fazer quando uma mensagem falha nessas verificações — rejeitar, colocar em quarentena ou apenas monitorar.

Quando essas três camadas estão bem configuradas pelo domínio legítimo, o spoofing direto (usar exatamente o mesmo endereço) se torna muito mais difícil. O problema é que uma parcela significativa de empresas, especialmente pequenas e médias, ainda não configura DMARC corretamente, deixando seus domínios vulneráveis a serem falsificados por golpistas.

Por que “remetente conhecido” não é garantia de segurança#

Mesmo quando o spoofing direto do endereço exato é bloqueado por essas tecnologias, os golpistas têm alternativas quase igualmente eficazes:

• Domínios parecidos (typosquatting): em vez de falsificar exatamente “banco.com.br”, o golpista registra “banc0.com.br” ou “banco-cliente.com”, com pequenas variações que passam despercebidas numa leitura rápida.
• Nome de exibição enganoso: muitos clientes de e-mail mostram apenas o nome do remetente, escondendo o endereço completo. Um golpista pode configurar o nome “Suporte Banco X” mesmo enviando de um endereço de e-mail totalmente diferente e genuíno de outro provedor.
• Contas legítimas comprometidas: em vez de falsificar, o criminoso invade de fato a conta de e-mail de uma pessoa ou empresa real e envia mensagens maliciosas a partir dela, o que é ainda mais difícil de detectar, já que tecnicamente o remetente é autêntico.

Esse último caso, conhecido como Business E-mail Compromise (BEC) ou comprometimento de e-mail corporativo, é responsável por perdas financeiras bilionárias globalmente, muitas vezes envolvendo pedidos falsos de transferência bancária enviados de contas de e-mail genuinamente invadidas de diretores ou financeiros de empresas.

Como verificar o cabeçalho de um e-mail suspeito#

Todo e-mail carrega, além do que aparece na tela, um cabeçalho técnico com informações sobre sua origem real. Você pode acessá-lo na maioria dos clientes de e-mail:

• No Gmail, abra o e-mail, clique nos três pontos no canto superior direito e selecione “Mostrar original”.
• No Outlook, abra o e-mail, vá em Arquivo > Propriedades e procure o campo “Cabeçalhos da internet”.
• Procure especificamente pelos resultados de “SPF”, “DKIM” e “DMARC” no cabeçalho — eles costumam aparecer como “pass” (aprovado) ou “fail” (reprovado).
• Compare o domínio no campo “Return-Path” ou “From” técnico com o domínio oficial da empresa que supostamente enviou a mensagem.

Sinais práticos de alerta, sem precisar analisar cabeçalho técnico#

Nem todo mundo vai querer, ou saber, ler cabeçalhos técnicos de e-mail. Para o dia a dia, alguns sinais continuam sendo bons indicadores de spoofing ou phishing:

• Urgência artificial: “sua conta será bloqueada em 24 horas” ou “ação necessária imediatamente”.
• Pedidos incomuns vindos de contatos conhecidos, como transferências bancárias solicitadas por e-mail sem confirmação por outro canal.
• Links que, ao passar o mouse por cima sem clicar, mostram um endereço diferente do texto exibido.
• Erros de português, formatação estranha ou saudações genéricas (“Prezado cliente”) em mensagens que deveriam ser personalizadas.
• Anexos inesperados, especialmente arquivos compactados (.zip) ou executáveis (.exe), mesmo vindos de contatos conhecidos.

O que fazer diante de um e-mail suspeito#

A regra mais segura é simples: nunca tome uma ação sensível — clicar em link, baixar anexo, transferir dinheiro, fornecer senha — baseado apenas no conteúdo de um e-mail, por mais legítimo que pareça o remetente. Confirme por outro canal de comunicação, como uma ligação telefônica para um número já conhecido (não o que aparece no próprio e-mail suspeito) ou uma mensagem direta pelo aplicativo oficial da empresa.

Empresas sérias raramente pedem dados sensíveis, senhas ou confirmações urgentes de pagamento exclusivamente por e-mail. Quando a mensagem envolve dinheiro ou dados pessoais, vale sempre desconfiar primeiro e confirmar depois, mesmo que isso pareça excesso de cautela.

O caso do Business E-mail Compromise nas empresas brasileiras#

Entre as fraudes corporativas mais custosas está o chamado “golpe do boleto” ou variações do Business E-mail Compromise adaptadas ao mercado brasileiro. O padrão costuma seguir uma sequência: o criminoso invade a caixa de e-mail de um funcionário do setor financeiro ou de um fornecedor, observa silenciosamente a troca de mensagens durante semanas para entender o padrão de comunicação e os valores negociados, e no momento certo — geralmente próximo ao vencimento de um pagamento real — envia um e-mail (da conta genuinamente comprometida, ou de um domínio muito parecido) informando uma “mudança de dados bancários” para o próximo pagamento. Como a conversa parece dar continuidade a uma negociação legítima e real, a taxa de sucesso desse golpe costuma ser alta.

Empresas que lidam com pagamentos a fornecedores deveriam adotar, como política obrigatória, a confirmação por telefone de qualquer mudança de dados bancários antes de processar um pagamento, usando um número de telefone já conhecido anteriormente, nunca um número informado no próprio e-mail da suposta mudança.

Diferenças entre spoofing, phishing e engenharia social#

Esses três termos são frequentemente confundidos, mas descrevem camadas diferentes de um mesmo tipo de ataque. Spoofing é a técnica de falsificar a origem aparente de uma comunicação (o remetente do e-mail, por exemplo). Phishing é a estratégia mais ampla de enganar a vítima para que ela revele dados sensíveis ou realize uma ação prejudicial, frequentemente usando spoofing como uma das ferramentas para parecer legítimo. Engenharia social é o conceito ainda mais amplo, que engloba qualquer manipulação psicológica usada para contornar defesas de segurança, incluindo ligações telefônicas falsas, mensagens de texto e até abordagens presenciais. Entender essa hierarquia ajuda a perceber que bloquear apenas uma técnica (como o spoofing direto de e-mail) não elimina o risco de outras formas de engenharia social continuarem funcionando.

Protegendo seu próprio domínio contra spoofing#

Se você administra um domínio de e-mail próprio, seja pessoal ou de uma pequena empresa, configurar corretamente SPF, DKIM e DMARC é uma das medidas mais eficazes para impedir que golpistas usem seu nome para enganar terceiros. A maioria dos provedores de hospedagem e serviços de e-mail corporativo, como Google Workspace e Microsoft 365, oferece assistentes de configuração para essas tecnologias, e ativá-las não exige conhecimento técnico avançado, apenas alguns minutos seguindo o passo a passo disponibilizado pelo próprio provedor.

Em resumo, o spoofing de e-mail explora uma fragilidade estrutural antiga da internet, mas suas consequências continuam muito atuais. Reconhecer que “remetente conhecido” não é sinônimo de “mensagem confiável” é o primeiro passo para não cair em golpes que, cada vez mais, imitam com precisão cirúrgica a comunicação legítima de bancos, empresas e até pessoas próximas.

Ferramentas gratuitas para checar a reputação de um domínio suspeito#

Além de analisar o cabeçalho técnico do e-mail, algumas ferramentas gratuitas ajudam a verificar rapidamente se um domínio remetente tem histórico de má reputação: serviços como VirusTotal permitem colar um link ou domínio suspeito e verificar se ele já foi identificado por múltiplos mecanismos de segurança como malicioso; o próprio Google Transparency Report mostra o status de segurança de sites indexados; e ferramentas de consulta WHOIS revelam há quanto tempo aquele domínio específico foi registrado, sendo domínios criados há poucos dias um forte sinal de alerta quando combinados com urgência ou pedido de dados sensíveis.

Treinamento simulado: como empresas ensinam funcionários a identificar spoofing#

Empresas com maturidade de segurança da informação frequentemente realizam campanhas simuladas de phishing internamente, enviando e-mails de teste (inofensivos, mas realistas) para medir quantos funcionários clicariam em links suspeitos ou forneceriam dados sensíveis, sem qualquer consequência real, mas com feedback educativo imediato para quem “caiu” na simulação. Se você trabalha em uma empresa que oferece esse tipo de treinamento, vale levá-lo a sério, já que os padrões usados nessas simulações refletem, com boa fidelidade, as técnicas realmente empregadas por golpistas no mundo real, incluindo variações de spoofing discutidas ao longo deste artigo.

Spoofing não se limita ao e-mail: o caso da falsificação de número de telefone#

O mesmo princípio explorado no spoofing de e-mail também se aplica a ligações telefônicas, através de uma técnica chamada caller ID spoofing, na qual o golpista manipula o número exibido na tela do destinatário para simular uma ligação de uma instituição confiável, como o próprio banco da vítima, uma delegacia de polícia ou um órgão público. Esse tipo de fraude tem sido usado em golpes sofisticados no Brasil, nos quais a vítima recebe uma ligação aparentemente do número oficial do banco, alertando sobre uma “transação suspeita” e induzindo o pagamento ou transferência de valores para uma conta “segura” controlada pelo golpista, sob o pretexto de proteger o dinheiro de uma fraude que, na verdade, nunca existiu — quando, na realidade, a própria transferência solicitada é o golpe.

Assim como no spoofing de e-mail, o número exibido na tela do celular não é garantia de autenticidade da ligação. Diante de qualquer contato telefônico não solicitado pedindo dados bancários, transferências ou informações sensíveis, a orientação continua sendo a mesma: desligue e ligue de volta usando um número já conhecido e verificado anteriormente, nunca um número sugerido durante a própria ligação suspeita.

Resumo prático: os três hábitos que mais protegem contra spoofing#

• Nunca tome decisões sensíveis (clicar em links, fornecer dados, transferir dinheiro) baseado apenas na aparência do remetente ou número exibido, seja em e-mail, SMS ou ligação telefônica.
• Confirme por um canal independente e já conhecido anteriormente antes de agir sobre qualquer pedido incomum, mesmo vindo aparentemente de contatos ou instituições confiáveis.
• Mantenha ferramentas de proteção antiphishing ativas no navegador e no provedor de e-mail, e configure corretamente SPF, DKIM e DMARC caso administre um domínio próprio.