Black Friday: 42% das grandes lojas não barram e-mail falso

A 16 dias da Black Friday, 42,4% das 151 maiores lojas online do Brasil não bloqueiam e-mail falso em nome delas. Veja os dados e como se proteger.

LDL Labs é a área de pesquisa da LDL Security. A 16 dias da Black Friday (27/11/2026), verificamos se as maiores lojas online do Brasil impedem que golpistas mandem e-mail falso em nome delas. O resultado: 42,4% das 151 maiores lojas online que recebem e-mail não instruem os provedores a bloquear e-mail falsificado com o próprio domínio. São 64 lojas, ou 4 em cada 10.

Na prática, um golpista pode mandar uma falsa confirmação de pedido ou um boleto com o endereço real da loja, e o servidor de quem recebe não tem, do lado da loja, ordem para recusar a mensagem.

Na mesma coleta, os registros públicos de certificados mostraram ao menos 280 domínios que juntam o nome de uma grande loja a uma palavra típica de golpe, com certificado válido em 11/11. É um piso, e ter certificado não prova golpe.

Principais números

42,4% das lojas (64 de 151) não bloqueiam e-mail falsificado; 57,6% bloqueiam.
95,4% já publicaram DMARC, mas 37,1% o deixam só em monitoramento (p=none).
Só 4,6% não têm DMARC, e 2,0% não têm SPF válido.
Das 56 lojas em p=none, 44 (79%) recebem os relatórios DMARC e não ligaram o bloqueio.
Farmácia, beleza e pet é o grupo mais exposto: 7 em cada 10 lojas (70,0%) não bloqueiam. Marketplaces e sites estrangeiros vão melhor, com 13,6%.
Nos domínios .br, 46,2% não bloqueiam; nos demais, 28,1%.

O que cada registro faz

SPF lista os servidores autorizados a enviar e-mail em nome do domínio.
DMARC diz ao provedor de quem recebe o que fazer com a mensagem que falha na verificação: nada (p=none), mandar para a quarentena, em geral a caixa de spam (p=quarantine), ou recusar (p=reject).

O p=none só registra: serve para acompanhar os relatórios no começo, mas não pede a ninguém que barre a mensagem falsa. Por isso, neste estudo, só bloqueia quem tem SPF válido e DMARC em quarentena ou rejeição.

Resultado por grupo de setor

Grupo de setor	Lojas	Não bloqueiam	DMARC em p=none	Sem DMARC
Farmácia, beleza e pet	30	70,0%	63,3%	6,7%
Moda, calçados, infantil e joias	35	57,1%	51,4%	2,9%
Eletro, casa e construção	24	37,5%	33,3%	4,2%
Mercado, comida, bebida e esportes	22	31,8%	22,7%	9,1%
Turismo e educação	18	22,2%	22,2%	0%
Marketplaces e sites estrangeiros	22	13,6%	9,1%	4,5%
Total	151	42,4%	37,1%	4,6%

Juntamos os setores de 5 a 13 lojas em grupos de 18 a 35: num setor pequeno, um 0% ou 100% revelaria cada loja de uma lista pública. Ainda assim, uma loja mexe de 3 a 6 pontos percentuais no grupo. Nos dois piores grupos, quase todo o problema é o p=none.

O p=none é o grande buraco

Quase todas as grandes lojas já publicaram o DMARC, mas 37% pararam no monitoramento. E 44 das 56 lojas em p=none pedem os relatórios DMARC (rua=), que mostram quem manda e-mail com o nome do domínio.

Bloqueio parcial. Se o bloqueio só contar quando vale para 100% das mensagens (pct=100), a fatia que bloqueia cai de 57,6% para 56,3%. Duas lojas aplicam a quarentena a só 1% e 10% das mensagens.
Subdomínios liberados. Em 3,3% das lojas, o domínio principal bloqueia e os subdomínios não (sp=none).
SPF rígido é minoria. Só 33,8% combinam SPF -all com DMARC em quarentena ou rejeição, e 49,7% não têm SPF ou usam SPF brando (~all, ?all ou sem o all final).
Domínio sem e-mail também conta. Dos 4 domínios da lista que não recebem e-mail, só 1 publica SPF -all e DMARC de bloqueio.

Comparação com o estudo de setembro

No estudo de setembro da LDL Labs, com o mesmo critério e a mesma base (domínios que recebem e-mail), 86% das empresas do Sul e 87% das dos demais estados não bloqueavam. As grandes lojas estão bem à frente, com 42%. A diferença está em ter DMARC: metade das empresas do Sul nem tinha (51,9%), contra 4,6% das lojas. A fatia em p=none é parecida: 34% no Sul e 37% nas lojas.

Atenção na comparação: são populações diferentes. Em setembro, uma amostra sorteada de 7.493 empresas da base de CNPJ; agora, a lista das maiores lojas online. A comparação mostra a distância, e não uma evolução no tempo. E são as marcas grandes que o golpista imita: mesmo nelas, 4 em cada 10 ainda não mandam barrar e-mail falso com o próprio domínio.

Domínios com nome de grande loja e certificado válido

Todo certificado HTTPS, o que faz aparecer o cadeado no navegador, fica registrado em logs públicos de Certificate Transparency. Pesquisamos no crt.sh 20 marcas entre as maiores da lista: marketplaces, eletro, moda, farmácia, beleza, casa e delivery.

Indicador (20 marcas)	Emitidos de 12/09 a 23/10	Válidos em 11/11
Nome da marca + palavra típica de golpe	50 domínios (69 certificados), em 8 das 20 marcas	280 domínios (358 certificados), em 15 das 20 marcas

As palavras de golpe incluem oferta, promo, desconto, oficial, pagamento, pedido, entrega, rastreio, cupom, outlet e login. Os nomes desse grupo foram lidos um por um, e os homônimos, como nome de cidade, ficaram de fora. A mediana é de 3,5 domínios por marca; o máximo, 70. Os nomes seguem padrões como <marca>-pagamentos.site, <marca>oficial.pro, <marca>-ofertas.pages.dev e <marca>-meupedido.com.

Quatro avisos:

O número é piso, e não teto. A busca só pega a marca no começo do nome ou entre hífens, e não vê sites sem HTTPS nem certificado curinga de plataforma.
O crt.sh estava atrasado. Nenhuma resposta trouxe certificado emitido depois de 23/10/2026.
Ter certificado não prova golpe. Parte dos nomes pode ser de afiliado, revendedor, registro defensivo ou da própria marca.
Não visitamos os sites. Só lemos os nomes.

Como o consumidor se protege

Desconfie de e-mail e de link. Pedido "com problema", pagamento "pendente" e cupom que vence em minutos são iscas comuns.
Digite o endereço da loja no navegador, ou use o aplicativo oficial, em vez de chegar por link de e-mail, SMS ou anúncio.
O cadeado não garante nada. Ele só mostra que a conexão é cifrada, e não quem está do outro lado. Os 280 domínios acima também tinham certificado válido.
Confira o domínio inteiro. <marca>-pagamentos.site não é a loja. Desconfie de hífen, de palavra a mais ("oficial", "ofertas") e de extensão diferente da que a loja usa.

Na dúvida, procure o pedido pela sua conta no site ou no aplicativo. O guia de como identificar phishing traz outros sinais.

O que a loja deve fazer antes da Black Friday

Sair do p=none com os relatórios que já recebe. Eles mostram os envios legítimos que ainda falham, como plataforma da loja, e-mail marketing e nota fiscal. Corrigidos esses envios, suba para p=quarantine e depois para p=reject, valendo para todas as mensagens.
Cuidar do sp=. Um sp=none deixa os subdomínios sem bloqueio mesmo com o domínio principal em reject.
Conferir o SPF. Um único registro (dois tornam o SPF inválido), com todos os serviços que mandam e-mail pela loja. Domínios que não mandam e-mail pedem SPF -all e DMARC em reject.
Testar. O teste de segurança gratuito da LDL Security confere SPF e DMARC do domínio em segundos. Para revisar checkout e pagamento antes do pico, veja o pentest para e-commerce.

O passo a passo está no guia de SPF, DKIM e DMARC.

Metodologia

Lista: 155 domínios de lojas online, de dois rankings públicos de audiência por categoria, com dados de dezembro de 2025 e de outubro de 2026. Só entrou domínio escrito na fonte, sem deduzir domínio do nome da marca.
Base: os 151 que recebem e-mail; os 4 sem MX ficaram fora, como em setembro. É a lista inteira, sem sorteio, então não há margem de erro amostral.
DNS: consulta pública a MX, SPF e DMARC (p=, sp=, pct= e rua=) em 11/11/2026, por resolvedores da Cloudflare, do Google e da Quad9. Nenhum servidor das lojas foi acessado.
Critério: não bloqueia quem não tem DMARC em quarentena ou rejeição, ou não tem SPF válido, como em setembro.
Certificate Transparency: 46 consultas ao crt.sh, só de certificados não vencidos, por palavra e por prefixo; cada certificado conta uma vez. Ficaram fora os domínios oficiais, certificados de empresa validada (OV/EV) e contas da marca em plataformas B2B.
Privacidade: nenhuma loja é identificada, nem como exemplo.

Jornalistas e pesquisadores podem pedir os números agregados pelo e-mail suporte@ldlsecurity.com.br.

Limitações

Audiência, não faturamento. A lista inclui sites estrangeiros e de turismo e educação. Automotivos, ferramentas, presentes e parte de joias ficaram de fora, porque a fonte não trazia o domínio.
Um domínio por loja. Algumas lojas mandam e-mail de outro domínio ou de subdomínio.
DKIM não foi medido, como em setembro, e DMARC em bloqueio não garante que todo o e-mail da loja esteja certo.
Retrato de 11/11/2026. As lojas podem mudar a configuração antes da Black Friday.
Cobertura do crt.sh. Além do atraso, 14 das 46 consultas voltaram vazias e 5 vieram cortadas. Nomes com a marca no meio ou no fim e certificados já vencidos ficam de fora.

Perguntas Frequentes

Ter DMARC em p=none já protege?

Não. O p=none serve para monitorar e receber relatórios, e não pede ao provedor que bloqueie nada. A proteção vem com p=quarantine ou p=reject. Entre as grandes lojas, 37,1% estão em p=none.

Se a loja não bloqueia, todo e-mail falso chega ao cliente?

Não necessariamente. Grandes provedores têm filtros próprios, mas nem toda mensagem falsificada é pega. Sem a ordem do dono do domínio, o provedor decide sozinho.

O cadeado no navegador quer dizer que o site é da loja?

Não. Ele só mostra que a conexão é cifrada, e quem registra um domínio consegue certificado para ele. Ao menos 280 domínios com nome de grandes lojas e palavras típicas de golpe tinham certificado válido em 11/11/2026.

Os 280 domínios são todos golpes?

Não dá para afirmar. Não acessamos os sites, e parte dos nomes pode ser de afiliado, revendedor, registro defensivo ou da própria marca. E o número é piso: o crt.sh estava atrasado e a busca não pega todo tipo de nome.

Dá tempo de corrigir antes da Black Friday?

A mudança é uma linha no DNS. O que leva tempo é conferir os envios legítimos, e quem já recebe os relatórios DMARC tem esse mapa em mãos. Dá para começar pela quarentena, que manda a mensagem suspeita para o spam em vez de recusá-la.

LDL Labs: 42% das Maiores Lojas Online Não Bloqueiam E-mail Falsificado