Um Email Falso de "Suporte PayPal" Pode Passar em Todas as Verificações de Segurança em Que Você Aprendeu a Confiar

Sim, um email falsificado pode passar pelo DMARC enquanto a linha From lê "PayPal Support" ou "Chase Fraud Department". Os três protocolos de três letras que todos citam como prova de que um email é real — SPF, DKIM, DMARC — apenas verificam o domínio de envio e a assinatura criptográfica. O nome de exibição, a parte legível para humanos em que seu olhar cai primeiro, nunca é verificada. O crachá de confiança protege o campo que ninguém examina.

Um email falsificado realmente pode passar no DMARC com um nome de exibição falso?

Pode, e a razão está embutida no padrão. RFC 7489, a especificação de DMARC, é explícita ao afirmar que só diz respeito ao domínio no cabeçalho "RFC5322.From" — a parte depois do @ sign. Não diz nada sobre o nome de exibição, o rótulo de texto livre que vem antes do endereço. Então um atacante que controla um domínio comum como support-team-alerts.com, configura registros SPF e DKIM corretos e envia de billing@support-team-alerts.com terá um DMARC aprovado limpo. Ele apenas define o nome de exibição como "PayPal Service". Autenticação tecnicamente perfeita. Apresentação completamente desonesta.

A maioria dos clientes de email então piora isso. Telefones em particular mostram o nome amigável e escondem o endereço completamente até que você toque nele. Você vê "PayPal Service"; o endereço support-team-alerts.com real fica atrás de um chevron que você nunca pressionará.

O que o DMARC está realmente verificando, então?

O DMARC verifica se o domínio no cabeçalho From está alinhado com um domínio que o remetente está autorizado a usar — e nada além disso. SPF confirma que o IP do servidor de envio está na lista aprovada do domínio. DKIM adiciona uma assinatura criptográfica vinculada a um domínio. O trabalho do DMARC é "alinhamento": garante que o domínio que SPF ou DKIM validou corresponda ao domínio From visível, para que você não possa passar pela autenticação em evil.com enquanto alega ser paypal.com.

Isso é genuinamente útil. É por isso que a suplantação de domínio exato de grandes marcas ficou mais difícil, e por isso que Google e Yahoo começaram a exigir DMARC para remetentes em massa em fevereiro de 2024. Mas M3AAWG, o grupo da indústria que redige as orientações de autenticação de remetentes, deixa claro que esses protocolos autenticam o domínio, não a intenção ou o texto. O envelope pode ser real enquanto a mensagem é uma mentira.

Por que o nome de exibição fica isento?

Porque o email foi construído antes de qualquer um imaginar que ele moveria dinheiro, e o nome de exibição foi projetado para ser amigável, não verificado. É um rótulo de cortesia. Não há registro de quem pode se chamar de "Apple Billing", nenhuma verificação contra marca registrada, nada. Você pode definir o seu como o Papa. Os padrões de email o tratam como decoração, então as etapas de autenticação o pulam.

Isso também é como funciona uma categoria crescente de golpe: suplantação de nome de exibição emparelhada com um domínio similar bem legítimo. O Internet Crime Complaint Center do FBI registrou mais de $2.9 bilhões em perdas de comprometimento de email comercial em 2023 — e BEC depende fortemente exatamente desse truque, um nome de confiança aparente sobre um endereço que o alvo nunca escrutiniza. Os protocolos todos passaram. O dinheiro ainda saiu.

Como você realmente lê a linha From agora?

Pare de ler o nome e leia o endereço. No desktop, passe o mouse ou clique para expandir o usuário@domínio completo e faça uma pergunta: este é o domínio que a empresa real usa, letra por letra? PayPal envia de paypal.com, não de paypal-secure.net ou service-paypal.com. No celular, toque no remetente para revelar o endereço antes de tocar em qualquer outra coisa.

Depois uma segunda verificação: essa organização o abordaria com uma saudação genérica e o empurraria para um link de login sobre uma demanda que você não esperava? Essa é a parte que nenhum cabeçalho verifica. Esse também é o lugar onde a filtragem de IA ganha seu valor — ferramentas como a sinalização de golpes da xmail comparam o nome de exibição contra o domínio autenticado e destacam a incompatibilidade, em vez de confiar no rótulo amigável da forma que seu olho faz. Um DMARC aprovado diz que o domínio é quem diz ser. Nunca disse que o nome era.

@@END@@