80,9% dos negócios locais podem ser falsificados por email
Um email do seu contabilista pede-lhe que pague a fatura deste mês para uma nova conta bancária. Se o seu servidor de correio consegue perceber que é forjado depende de alguns registos públicos que o contabilista publica. Lemo-los para 6 937 negócios locais em 10 países em outubro de 2026.
Estudo de Guglielmo Paesano, fundador da AIGROW · dados sob licença CC BY 4.0
- Domínios lidos
- 6 937
- Países
- 10
- Cidades
- 30
- Tipos de negócio
- 10
- Sem registo DMARC
- 3 458
Pode alguém enviar email em nome de um negócio local? Na maioria dos casos, sim. Em outubro de 2026, a AIGROW leu os registos DMARC e SPF públicos de 6 937 domínios de negócios locais em 10 países. 80,9% dos domínios não publicam nenhum registo que peça aos servidores de correio recetores que recusem todos os emails forjados, pelo que um email que diga vir deles pode chegar à caixa de entrada de um cliente.
Resultados
Cada domínio foi lido uma vez, a partir do DNS público. Pode ser falsificado significa que o verificador gratuito de falsificação de email considera o domínio falsificável.
80,9% dos domínios de negócios locais que analisámos podem ser falsificados por email: 5 611 de 6 937.
3 458 não têm qualquer registo DMARC, 2 093 têm um definido como p=none, que pede relatórios e não impede nada, e 60 têm um registo com erros ou aplicado apenas a parte do correio. 1 266 (18,2%) pedem aos servidores recetores que ponham em quarentena ou recusem todas as mensagens forjadas.
4 159 dos 5 611 que podem ser falsificados publicam SPF, e 1 573 deles terminam-no em -all, a definição estrita.
O SPF indica os servidores autorizados a enviar em nome de um domínio e verifica o endereço de retorno escondido na mensagem. O remetente que o cliente vê só é verificado quando o DMARC pede ao servidor recetor que faça corresponder os dois. Em toda a amostra, 5 329 dos 6 937 domínios publicam SPF.
Por país, a percentagem varia entre 72,2% nos Países Baixos e 94,3% na Itália.
Por tipo de negócio, varia entre 72,5% (advogados) e 89,2% (restaurantes). Os contabilistas, cujos clientes agem com base em emails sobre pagamentos, ficam em 74,2%.
País a país
Percentagem dos domínios de cada país por política DMARC, três cidades por país, dos mais expostos para os menos expostos.
| País | Domínios | Sem DMARC | p=none | Quarentena | Rejeitar | Inválido | Pode ser falsificado |
|---|---|---|---|---|---|---|---|
| Itália | 546 | 43,8% | 49,3% | 3,5% | 2,6% | 0,9% | 94,3% |
| França | 717 | 64,7% | 22,3% | 8,1% | 4,7% | 0,1% | 87,7% |
| Canadá | 766 | 56,3% | 28,9% | 10,1% | 4,3% | 0,5% | 86,2% |
| Estados Unidos | 629 | 61,2% | 23,1% | 8,9% | 6,7% | 0,2% | 84,7% |
| Espanha | 689 | 51,1% | 31,2% | 13,2% | 3,8% | 0,7% | 83,3% |
| Austrália | 659 | 51,9% | 28,7% | 10,5% | 8,3% | 0,6% | 81,6% |
| Reino Unido | 651 | 43,8% | 31,8% | 10,1% | 14,3% | 0,0% | 77,1% |
| Alemanha | 996 | 43,4% | 29,2% | 7,6% | 19,7% | 0,1% | 73,2% |
| Suíça | 618 | 53,1% | 19,4% | 16,5% | 10,8% | 0,2% | 72,8% |
| Países Baixos | 666 | 30,0% | 41,4% | 15,9% | 11,9% | 0,8% | 72,2% |
Por tipo de empresa
Percentagem dos domínios de cada tipo de negócio por política DMARC, com os dez países em conjunto, dos mais expostos para os menos expostos.
| Tipo de empresa | Domínios | Sem DMARC | p=none | Quarentena | Rejeitar | Inválido | Pode ser falsificado |
|---|---|---|---|---|---|---|---|
| Restaurantes | 1 190 | 57,8% | 30,5% | 5,7% | 5,6% | 0,3% | 89,2% |
| Cabeleireiros | 940 | 57,4% | 26,9% | 8,4% | 6,3% | 1,0% | 85,5% |
| Hotéis | 997 | 47,3% | 32,0% | 11,8% | 8,6% | 0,2% | 80,2% |
| Veterinários | 411 | 42,6% | 36,7% | 9,0% | 11,2% | 0,5% | 80,0% |
| Dentistas | 806 | 47,1% | 31,6% | 12,9% | 7,9% | 0,4% | 79,5% |
| Oficinas de automóveis | 549 | 55,9% | 22,2% | 11,7% | 10,0% | 0,2% | 78,7% |
| Arquitetos | 451 | 49,7% | 28,4% | 11,8% | 10,2% | 0,0% | 78,5% |
| Imobiliárias | 653 | 37,4% | 38,4% | 11,3% | 12,3% | 0,6% | 77,0% |
| Contabilistas | 275 | 49,1% | 24,0% | 11,6% | 14,5% | 0,7% | 74,2% |
| Advogados | 665 | 44,1% | 27,8% | 13,7% | 14,4% | 0,0% | 72,5% |
Como terminam os registos SPF
O último termo de um registo SPF indica ao recetor o que fazer com o correio vindo de um servidor que o registo não lista. Todos os 6 937 domínios.
| Registo SPF | Domínios | Partilhar | Pode ser falsificado |
|---|---|---|---|
| Termina em -all, a definição estrita | 2 293 | 33,1% | 1 573 |
| Termina em ~all, assinalado mas aceite | 2 842 | 41,0% | 2 401 |
| Termina em ?all, sem opinião | 155 | 2,2% | 150 |
| Termina em +all, todos os servidores autorizados | 3 | 0,0% | 3 |
| Sem termo all | 36 | 0,5% | 32 |
| Com erro ou duplicado | 53 | 0,8% | 50 |
| Sem registo SPF | 1 555 | 22,4% | 1 402 |
Como foi feito o estudo
- Os negócios
- Negócios listados no OpenStreetMap num raio de 6 km do centro de 30 cidades, três em cada país, em 10 tipos de negócio, cada um com o seu próprio site. O domínio desse site é o que foi lido. No máximo 40 por tipo de negócio e cidade, escolhidos por um hash fixo do domínio, para que uma nova execução escolha os mesmos. As cidades: Estados Unidos (Nova Iorque, Chicago, Los Angeles), Reino Unido (Londres, Manchester, Birmingham), Canadá (Toronto, Vancouver, Montreal), Austrália (Sydney, Melbourne, Brisbane), França (Paris, Lyon, Marselha), Alemanha (Berlim, Munique, Hamburgo), Itália (Milão, Roma, Turim), Países Baixos (Amsterdam, Roterdão, Utreque), Espanha (Madrid, Barcelona, Valência), Suíça (Zurique, Berna, Lausana).
- Cadeias excluídas
- O OpenStreetMap listava 34 647 domínios distintos. 728 deles aparecem em mais do que uma cidade, o que indica uma cadeia ou um diretório, e foram excluídos. Um domínio listado em dois tipos de negócio na mesma cidade conta uma só vez.
- A leitura
- Leitura feita através dos resolvedores públicos 1.1.1.1, 8.8.8.8 (em 28 de outubro de 2026), com o código do verificador gratuito de falsificação de email: o registo DMARC do domínio, ou do seu domínio principal quando não tem nenhum, o registo SPF com os respetivos includes e redirects, e o registo MX. Os 47 domínios aos quais o DNS público não respondeu ficam fora de todas as contagens.
- Pode ser falsificado
- O verificador considera um domínio falsificável quando nada do que publica pede aos recetores que travem o correio forjado: nenhum registo DMARC, uma política none, um registo com erros ou duplicado, quarentena aplicada apenas a parte do correio, ou um registo SPF que permite o envio a qualquer servidor. Parcialmente protegido significa reject apenas em parte do correio, ou subdomínios deixados em aberto. Protegido significa quarentena ou reject em todo ele.
- O que o DNS não mostra
- Os registos indicam o que um domínio pede aos servidores recetores. Não mostram se determinado servidor cumpre esse pedido, se o negócio assina o seu correio com DKIM, já que a chave de assinatura só se encontra sob um nome escolhido pelo remetente, nem se um burlão usa antes um domínio parecido. 951 dos 6 937 domínios não têm registo MX e podem não enviar correio de todo; são contados com os restantes, porque um burlão não precisa de que o domínio verdadeiro receba o que quer que seja.
- Apenas contagens
- Nenhum site foi aberto e nenhum servidor de correio foi contactado. Os dados contêm contagens por país e tipo de negócio, nunca o nome de um negócio nem um domínio: uma lista de negócios cujo email pode ser forjado seria uma lista de alvos. Um país e tipo de negócio com menos de 10 domínios fica fora do CSV. Business data © OpenStreetMap contributors, ODbL 1.0.
Dados e citação
Guglielmo Paesano, AIGROW. Quantos negócios locais podem ser falsificados por email, outubro de 2026, aigrow.gg/research/email-spoofing-2026. Os números e os dados são publicados sob CC BY 4.0: reutilize-os com uma ligação para esta página.
Para a imprensa: Guglielmo Paesano, fundador da AIGROW e autor do estudo, responde a perguntas sobre o estudo pelo email hello@aigrow.gg.
Sobre o autor: Guglielmo Paesano fundou a AIGROW, que criou o verificador gratuito de falsificação de email com que este estudo lê os domínios, e configura o DMARC para pequenas empresas.
Alguém pode enviar email em nome do seu negócio?
O verificador gratuito lê os seus registos DMARC, SPF e DKIM e indica-lhe os registos exatos a publicar. Se preferir que o façamos por si, o serviço de configuração de DMARC custa 149 €, pago uma só vez.
Edição, mês: outubro de 2026 · dados sob CC BY 4.0