Em 5 de novembro de 2026, a Microsoft Threat Intelligence publicou o seu panorama trimestral de ameaças por e-mail, referente a julho, agosto e setembro. O relatório registra cerca de 7,3 bilhões de ameaças de phishing por e-mail no período, com quase 3 bilhões só em setembro, alta de 41% sobre agosto. O número chama atenção, mas o achado mais útil para uma empresa de serviços profissionais está em outro ponto: muitas mensagens maliciosas chegaram à caixa de entrada porque a própria organização havia criado uma exceção que desligava a proteção.
Exceções no filtro de e-mail são comuns em consultorias. Um cliente reclama que a proposta caiu na quarentena, um sistema de assinatura eletrônica para de entregar avisos, e alguém libera o domínio para que o problema não volte. Este artigo explica o que a Microsoft observou, por que isso pesa na rotina de uma consultoria e o que revisar no ambiente. É um controle que faz parte do trabalho de TI para consultorias.
O que o relatório da Microsoft mostrou
O relatório acompanha mensagens que falsificam o domínio remetente de serviços empresariais conhecidos, como plataformas de assinatura de documentos, de faturas e de pesquisas. Não se trata de um nome de exibição parecido ou de um domínio semelhante: a mensagem declara como remetente o domínio verdadeiro do serviço.
A Microsoft detectou cerca de 129 milhões de mensagens maliciosas desse tipo no trimestre. Em setembro, a DocuSign foi a marca mais falsificada, com 29% do total do mês. O dado mais relevante, porém, é o que aconteceu depois da detecção. Mesmo reprovadas nas verificações de autenticação e classificadas como maliciosas, muitas dessas mensagens estavam associadas a substituições configuradas pela organização ou pelo próprio usuário. Em setembro, essas substituições se aplicaram a 63% das mensagens com resultado de segurança registrado, e a maior parte era de nível de organização.
A própria Microsoft ressalva que os números não provam que os destinatários abriram as mensagens nem que contas foram comprometidas. Mostram, sim, que a política de exceções merece a mesma atenção que a cobertura de detecção.
Por que a consultoria cria tantas exceções
Consultoria vive de troca de documentos com clientes, parceiros e órgãos externos. Isso produz um volume grande de mensagens legítimas que, aos olhos de um filtro, parecem arriscadas: anexos de planilhas, links para pastas compartilhadas, pedidos de assinatura, faturas e avisos automáticos de sistemas de terceiros.
Quando uma mensagem importante vai para a quarentena, a resposta mais rápida costuma ser incluir o remetente ou o domínio numa lista de permissões, ou criar uma regra de fluxo de e-mail que pula a verificação. A exceção resolve o incômodo do dia e fica esquecida. Com o tempo, o ambiente acumula liberações amplas, sem dono e sem data de revisão.
A documentação da Microsoft sobre configurações recomendadas é direta sobre isso: adicionar domínios à lista de domínios permitidos é descrito como uma má ideia, porque atacantes poderiam enviar mensagens que, de outra forma, seriam filtradas. A orientação vale de forma especial para domínios de serviços muito usados, que são exatamente os que o relatório mostra sendo falsificados.
O golpe que mirou escritórios de serviços profissionais
O relatório descreve uma campanha de 19 de agosto de 2026 que atingiu mais de 10 mil usuários em mais de 4.800 organizações, quase todas nos Estados Unidos, com foco no setor de serviços profissionais, especialmente escritórios jurídicos. A mensagem tinha o assunto "Salary Review" e trazia apenas um documento do Word, que imitava a identidade visual da própria organização do destinatário e o chamava pelo nome.
O documento continha um código QR. Ao lê-lo, a pessoa chegava a uma página que imitava a tela de acesso do OneDrive e pedia que um código fosse copiado e digitado no portal legítimo da Microsoft. É a técnica conhecida como phishing por código de dispositivo: ao concluir a autenticação, a vítima entregava ao atacante um token de sessão válido. Segundo a Microsoft, esse token dava acesso persistente à conta do Microsoft 365 sem expor a senha e sem acionar de novo a autenticação multifator.
O caso interessa à consultoria por três motivos. O alvo era um setor muito próximo do seu. O código QR tira o link do corpo da mensagem e o leva para o telefone pessoal, fora do equipamento gerenciado. E a autenticação em duas etapas, sozinha, não impediu o acesso.
Remetente autenticado não é remetente confiável
Outra campanha do relatório, em setembro, usou pedidos de cotização e de folha de pagamento em espanhol para distribuir um programa que coleta credenciais. As mensagens passaram nas três verificações de autenticação de e-mail (SPF, DKIM e DMARC), porque o atacante usava um domínio próprio, configurado corretamente. A falsificação estava no nome de exibição, ajustado para parecer alguém da área comercial ou de recursos humanos da empresa do destinatário.
A lição tem dois lados. Uma mensagem pode ser reprovada na autenticação e mesmo assim ser entregue, se houver uma exceção. E uma mensagem pode ser aprovada na autenticação e mesmo assim ser maliciosa. Nenhum dos dois sinais substitui a conferência do pedido.
No mesmo período, a Microsoft registrou que, entre os golpes de falsificação de contato comercial com pedido financeiro explícito, a atualização de dados de folha de pagamento foi o tema mais comum, e os pedidos de pagamento de fatura mais que triplicaram entre junho e setembro.
O Teams também entrou na conta
O relatório contabilizou cerca de 141 mil tentativas de chamadas maliciosas pelo Microsoft Teams no trimestre. A mudança de tática é o ponto principal: o uso de nomes pessoais comuns como nome de exibição subiu de 46% da amostra em julho para 88% em setembro, enquanto as identidades que se apresentavam explicitamente como suporte técnico caíram de 17% para 2%.
Na prática, o atacante deixou de se anunciar como "Help Desk" e passou a usar um nome qualquer, às vezes com um domínio parecido com o da empresa da vítima. Já tratamos de um risco vizinho no artigo sobre instaladores falsos que abrem acesso remoto. Para a equipe, a regra precisa ser simples: suporte de TI não pede acesso remoto por uma chamada inesperada vinda de fora da organização.
O que revisar no ambiente da consultoria
A lista abaixo segue as recomendações da Microsoft e a ordem em que conduzimos essa revisão:
- Inventariar todas as exceções. Listas de remetentes e domínios permitidos, regras de fluxo de e-mail que ignoram a filtragem, entradas na lista de permissões e liberações feitas pelos próprios usuários.
- Dar dono e prazo a cada exceção. Quem pediu, por quê, e quando será revista. O que não tiver justificativa sai.
- Remover liberações por domínio de serviços amplos. Plataformas de assinatura, faturamento e pesquisa são exatamente as mais falsificadas.
- Aplicar as configurações recomendadas de proteção do Exchange Online e do Defender para Office 365, incluindo links e anexos seguros.
- Confirmar que a limpeza automática pós-entrega está ativa. A Microsoft documenta que listas de permissões e regras de fluxo de e-mail podem impedir essa limpeza de agir sobre mensagens já entregues.
- Bloquear o fluxo de código de dispositivo por política de acesso condicional, permitindo apenas casos documentados que ainda dependam dele.
- Limitar quem fala com usuários externos no Teams e orientar a equipe a desconfiar de chamadas e conversas de primeiro contato.
- Adotar autenticação resistente a phishing para contas administrativas e para quem aprova pagamentos.
Os itens 1 a 5 conversam com a revisão de identidades, aplicativos e domínios do Microsoft 365, e o item 6 com a revisão de permissões de aplicativos de fornecedores.
Como manter isso sob controle depois da revisão
Exceção é inevitável. O problema é a exceção permanente e sem registro. Três hábitos resolvem a maior parte do risco: toda nova liberação passa por um canal único, com justificativa; a lista de exceções é revista em intervalo fixo; e mensagens retidas por engano são tratadas pela correção da causa (autenticação do remetente, configuração do sistema emissor) e não pela abertura do filtro.
Também ajuda separar os papéis. Quem aprova pagamentos e alterações de dados bancários deve confirmar o pedido por um segundo canal, previamente cadastrado, antes de executar. Isso vale para fatura de fornecedor, troca de conta de recebimento e atualização de folha.
Esse acompanhamento depende de alguém olhando os registros de mensagens, os alertas e as políticas com regularidade. É parte do que entregamos na gestão de Microsoft 365 e nos serviços gerenciados de TI.
Como a Diversa trata esse controle
A Diversa atua há mais de 20 anos no Rio de Janeiro, com mais de 2.500 dispositivos monitorados e SLA de 99,8%. Em incidentes críticos, a primeira resposta humana ocorre em menos de 30 minutos. Como parceira Microsoft, tratamos a política de e-mail como parte da governança do ambiente, com inventário de exceções, revisão periódica e registro de quem pediu cada liberação.
Em consultorias, esse trabalho costuma começar por uma pergunta simples ao sócio ou ao gestor: quantas exceções o filtro de e-mail tem hoje, e quem é responsável por cada uma? Quando ninguém sabe responder, é por ali que a revisão de TI para consultorias começa.
Fontes
- Email threat landscape: Q3 2026 trends and insights — Microsoft Security Blog, 5 de novembro de 2026
- Recomendações para definições de segurança do Microsoft 365 — Microsoft Learn
- Eliminação automática em tempo zero no Microsoft Defender para Office 365 — Microsoft Learn
- Bloquear fluxos de autenticação com a política de acesso condicional — Microsoft Learn