Spoofing de e-mail

O que é spoofing de e-mail?

Spoofing vem do inglês e quer dizer falsificação. No e-mail, spoofing é enviar uma mensagem com um remetente falso. O e-mail mostra um endereço no campo De, mas foi enviado por outra pessoa.

O objetivo quase sempre é enganar quem recebe. O golpista quer que a pessoa pague uma conta falsa, informe uma senha ou abra um arquivo.

Um exemplo de spoofing de e-mail

A empresa do exemplo usa o domínio example.com. O diretor-geral se chama Roberto. Numa sexta-feira à tarde, Juliana, do setor financeiro, recebe este e-mail:

De: Roberto Lima <roberto@example.com>
Assunto: Pagamento urgente
Juliana, preciso que você pague esta fatura hoje.
Estou em reunião, não consigo atender o telefone.

O nome e o endereço são os do diretor. Mas Roberto não enviou esse e-mail. Um golpista escreveu roberto@example.com no campo De e enviou a mensagem do próprio servidor dele. A conta bancária da fatura é do golpista.

Se Juliana pagar, o dinheiro vai para o golpista. Esse tipo de golpe é comum porque o pedido parece vir de alguém com autoridade.

Por que o spoofing é possível

O e-mail foi criado sem uma checagem do remetente. O SMTP, o conjunto de regras que os servidores usam para enviar e-mail, não confere o campo De. Quem envia pode escrever qualquer endereço ali.

Um e-mail tem, na verdade, dois endereços de remetente:

• O endereço De, que o leitor vê no programa de e-mail.
• O Return-Path, um endereço técnico para onde os bounces são enviados. O leitor normalmente não vê esse endereço.

O golpista pode colocar endereços diferentes em cada um. As checagens SPF, DKIM e DMARC foram criadas depois, para resolver esse problema.

Como reconhecer um e-mail falso

Alguns sinais aparecem no próprio e-mail:

• O pedido é urgente e envolve dinheiro ou senha. Exemplo: "pague hoje", "confirme a sua senha agora".
• O endereço de resposta é diferente. Você clica em Responder e o campo Para mostra outro endereço. Esse endereço vem do cabeçalho Reply-To, que o golpista também pode escolher.
• A pessoa pede para não ligar ou não confirmar por outro meio.

Outros sinais aparecem nos detalhes técnicos. No Gmail, abra o e-mail, clique nos três pontos e escolha Mostrar original. O Gmail mostra o resultado de três checagens:

• SPF: o e-mail veio de um servidor autorizado pelo domínio?
• DKIM: o e-mail tem a assinatura digital do domínio?
• DMARC: pelo menos uma das duas checagens passou para o domínio do campo De?

Se aparecer FAIL em DMARC, o e-mail provavelmente não veio de quem diz ter vindo.

Como proteger o seu domínio contra spoofing

Você não impede que alguém escreva o seu endereço no campo De. Mas você pode pedir aos servidores de destino que bloqueiem esses e-mails. São três registros no DNS do seu domínio. O DNS é o sistema público que guarda informações sobre cada domínio.

1. SPF: lista os servidores autorizados a enviar e-mail pelo seu domínio.
2. DKIM: coloca uma assinatura digital em cada e-mail que você envia.
3. DMARC: diz o que fazer com um e-mail que falha nas duas checagens.

Com DMARC em p=reject, o Gmail, o Outlook e outros provedores bloqueiam o e-mail falso do exemplo. Juliana nunca o recebe. Com p=none, o e-mail falso ainda é entregue.

Spoofing, phishing e domínios parecidos

Esses termos aparecem juntos, mas não são a mesma coisa.

O DMARC protege contra o spoofing do seu domínio exato. Ele não protege contra um domínio parecido, porque exampel.com pertence ao golpista. Esse domínio pode ter SPF, DKIM e DMARC próprios.

O que fazer se você receber um e-mail falso

1. Não clique em links e não abra anexos.
2. Não responda ao e-mail.
3. Confirme o pedido por outro meio, como um telefone que você já conhece.
4. Use o botão Denunciar spam ou Denunciar phishing do seu programa de e-mail.
5. Se for um e-mail de trabalho, avise a equipe de TI.

Spoofing de e-mail e verificação de e-mail

A verificação não detecta spoofing. Um verificador de e-mail diz se um endereço existe e aceita e-mail. Ele não diz quem realmente enviou uma mensagem. No exemplo, roberto@example.com é um endereço real, então ele seria verificado como válido. A verificação de e-mail serve para outra coisa: com um validador de e-mail em massa, você remove da sua lista os endereços que não existem antes de enviar, e menos e-mails voltam como bounce.