Spam: o volume
O spam é correio não solicitado, enviado em massa. É incómodo e faz perder tempo, mas raramente procura uma vítima concreta.
O que o denuncia: a reputação do servidor ou do domínio que o envia, um domínio criado há poucos dias, um conteúdo publicitário repetido de forma idêntica junto de milhares de destinatários. Um filtro de reputação e de conteúdo trava-o bem, e uma colocação em espera seletiva dos remetentes desconhecidos afasta parte dos envios automatizados.
A distinguir: o correio cinzento. Uma newsletter que alguém subscreveu ou uma promoção de um fornecedor conhecido não são spam. Classificá-las à parte evita inundar a caixa de correio sem bloquear uma mensagem esperada.
Phishing: a credibilidade
O dispositivo nacional francês de assistência às vítimas, cybermalveillance.gouv.fr, descreve o phishing como uma mensagem falsa que se faz passar por um terceiro de confiança (banco, administração pública, fornecedor, rede social) para roubar credenciais, palavras-passe ou dados bancários. As formas habituais nas empresas:
- uma página falsa de início de sessão no correio eletrónico ou na partilha de ficheiros;
- uma marca conhecida imitada: transportadora, banco, fabricante de software;
- um código QR numa imagem, que faz passar a ligação do computador para o telemóvel;
- uma mensagem que convida a ligar para um falso número de suporte.
A autenticação do domínio não basta aqui. Um burlão que compra um domínio parecido com o seu pode configurar perfeitamente SPF, DKIM e DMARC para esse domínio: a mensagem dele é autêntica… para um domínio que não é o seu. O que o denuncia é a semelhança com uma marca ou um domínio conhecido, a idade do domínio, a reputação das ligações, o conteúdo.
Quando o phishing visa uma pessoa concreta para obter uma transferência, torna-se uma fraude do CEO: ver usurpação de identidade e fraude do CEO. O que SPF, DKIM e DMARC travam realmente é detalhado em SPF, DKIM e DMARC.
Malware: o anexo ou a ligação
O programa malicioso chega num anexo ou atrás de uma ligação: documento Office que pede para ativar as macros, PDF armadilhado, ficheiro HTML que imita uma página de início de sessão, arquivo comprimido, imagem com um código QR. A mensagem em si pode ser banal («a sua fatura», «documento partilhado»).
A resposta incide sobre o ficheiro e sobre a ligação: antivírus, inspeção das macros e dos PDF, leitura dos códigos QR, reputação dos endereços e, depois, verificação no momento do clique. O guia anexos, ligações e ransomware detalha o que é examinado e o que continua a ser um gesto humano.
Conta comprometida: a caixa de correio verdadeira
Aqui, a mensagem sai de uma caixa de correio verdadeira, a de um fornecedor, de um cliente ou de um colega cuja palavra-passe foi roubada. O SPF passa, a assinatura DKIM é válida, o remetente é conhecido. Um filtro que só verifica «o remetente é desconhecido ou está mal autenticado?» não vê nada.
Os sinais estão no comportamento:
- um interlocutor habitual que de repente escreve a destinatários invulgares, ou em grande número;
- um tom, uma língua ou um horário que não são os dele;
- um pedido novo: alteração de dados bancários, ligação de partilha inesperada, documento «para assinar com urgência»;
- uma resposta inserida numa conversa antiga, para aproveitar a sua credibilidade.
Duas situações a separar. Quando é a conta de um terceiro que lhe escreve, o filtro de entrada pode detetar a anomalia. Quando é a sua própria conta, o assunto é antes de mais o do seu serviço de correio: palavra-passe, autenticação de dois fatores, alertas de início de sessão, regras de reencaminhamento acrescentadas pelo atacante. Não é o mesmo projeto que o phishing externo, mesmo que comece muitas vezes por um phishing.
Quatro ameaças, quatro respostas
| Ameaça | O que a denuncia | Resposta principal | O que não basta |
|---|
| Spam | Volume, reputação, domínio recente | Reputação e conteúdo, colocação em espera seletiva | Eliminar à mão |
| Phishing | Marca ou domínio imitado, ligação duvidosa | Deteção de usurpação, análise das ligações e dos códigos QR | SPF, DKIM e DMARC sozinhos |
| Malware | Anexo ou ligação | Análise dos ficheiros, proteção no clique | Um antispam de reputação |
| Conta comprometida | Mudança de hábitos de um remetente conhecido | Deteção de anomalias e, depois, segurança da conta | Uma lista negra de remetentes |
Exemplo, a título ilustrativo. Na mesma segunda-feira, uma PME recebe uma vaga de publicidade a impressoras, um falso aviso de entrega com um código QR, uma «fatura» em formato HTML e uma mensagem do contabilista de um cliente habitual que anuncia um novo IBAN. As três primeiras são assunto do filtro. A quarta vem de uma caixa de correio verdadeira: o filtro pode assinalar a anomalia, mas é uma chamada para o número já conhecido do cliente que decide.
Como funciona uma filtragem moderna
Um filtro recente não toma a decisão com base num único critério. Calcula uma pontuação a partir de vários sinais:
- a autenticidade do remetente: SPF, DKIM, DMARC, reputação do servidor e do domínio, idade do domínio;
- a mensagem: ligações, texto, cenários de burla conhecidos, semelhança com uma marca ou um nome interno;
- os anexos: antivírus, macros, PDF, imagens;
- o contexto: a mesma mensagem enviada a muitos destinatários (uma campanha), ou um remetente habitual que muda de comportamento.
A pontuação conduz a uma decisão graduada: entregar, colocar em quarentena, rejeitar ou adiar um remetente desconhecido. A quarentena conta tanto como a rejeição: uma mensagem legítima posta de lado por engano tem de poder ser encontrada e libertada, ver Quarentena, falsos positivos e denúncias.
As denúncias dos utilizadores, «isto é spam» ou «isto é legítimo», ajustam depois a reputação dos remetentes. Um filtro que aprende com os seus erros produz menos falsos positivos.
Perguntas frequentes
Porque continuamos a receber spam com um bom filtro?
Porque um filtro arbitra entre bloquear demasiado e deixar passar. Uma configuração que não deixa passar nada também põe de lado mensagens esperadas.
Uma mensagem que passa o DMARC é segura?
Não. Prova que o domínio apresentado autorizou o envio, não que o conteúdo é honesto. Ver SPF, DKIM e DMARC.
O que fazer com uma mensagem suspeita já recebida?
Não clicar, não responder, denunciá-la ao administrador em vez de a eliminar. O Cybermalveillance.gouv.fr recomenda também, em caso de dúvida, contactar o organismo por um meio que se conheça.
A conta de um colega envia mensagens estranhas: o que fazer?
Avisar o administrador do serviço de correio, que altera a palavra-passe e verifica a autenticação de dois fatores e as regras de reencaminhamento. Não é uma configuração do filtro.
Onde se situa a Klytic
O Klytic MTA analisa cada mensagem por camadas, antes da caixa de correio, à frente de qualquer serviço de correio.
- Autenticidade (Essential e Advanced): SPF, DKIM, DMARC, incluindo para as mensagens reencaminhadas, reputação dos servidores e dos domínios, idade dos domínios, colocação em espera seletiva dos remetentes desconhecidos.
- Mensagem (Essential e Advanced): anti-phishing, usurpação de marca, domínios sósia e nome de apresentação, códigos QR, deteção das campanhas e dos comportamentos invulgares de um remetente, triagem das newsletters.
- Anexos (Essential e Advanced): antivírus, macros Office, PDF; anexos perigosos retirados com uma mensagem informativa. A Advanced acrescenta os ficheiros HTML armadilhados e o texto escondido nas imagens.
- No momento do clique (Advanced): as ligações são reanalisadas quando o utilizador clica.
- Fraude financeira (Advanced): fraude do CEO, faturas falsas, transferências falsas e outros cenários.
As denúncias dos utilizadores alimentam uma aprendizagem partilhada entre as instâncias, e as mensagens com pontuação ambígua são arbitradas por um modelo de IA, nas duas ofertas. O que esse modelo recebe é explicado em A IA na filtragem dos e-mails.
Limite: o Klytic MTA vê o correio que passa por ele. A segurança das suas próprias contas (palavras-passe, autenticação de dois fatores, inícios de sessão) continua a ser a do seu serviço de correio.
Fontes
Consultadas em outubro de 2026.
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (O que fazer em caso de phishing): definição de phishing, usurpação de um terceiro de confiança, roubo de credenciais e de dados bancários, conselhos de verificação. cybermalveillance.gouv.fr
- RFC 7489, DMARC: o mecanismo não trata os domínios visualmente semelhantes, nem o abuso do nome de apresentação, nem a análise do conteúdo. rfc-editor.org
- Klytic, página Klytic MTA: camadas de análise e módulos das ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX. klytic.com
