LDL Labs é a área de pesquisa da LDL Security. Nesta primeira edição, analisamos se as empresas brasileiras configuram o próprio domínio para impedir que criminosos enviem e-mails falsos em nome delas. O resultado: 86,1% das empresas do Sul com domínio de e-mail próprio não instruem os provedores a bloquear e-mails falsificados. No restante do país, o número é praticamente o mesmo: 87,4%.
Na prática, isso significa que um golpista pode enviar um boleto, um pedido de pagamento ou um link de "atualização de cadastro" usando o endereço de e-mail real da empresa, e o servidor de quem recebe não tem, do lado da empresa, nenhuma ordem para recusar a mensagem.
Principais números
- 51,9% das empresas do Sul não têm nenhuma política DMARC publicada.
- 34,0% têm DMARC apenas em modo de monitoramento (p=none), que registra, mas não bloqueia a falsificação.
- Só 13,9% combinam SPF válido com DMARC em quarentena ou rejeição, a configuração que efetivamente orienta o bloqueio.
- 7,1% não publicam nem SPF, o registro básico que diz quais servidores podem enviar e-mail pelo domínio.
- O setor com pior resultado é educação: 92,9% sem proteção. Mesmo o melhor, serviços financeiros e seguros, fica em 81,2%.
Resultado por estado
| Região | Empresas analisadas | Sem bloqueio de falsificação | Sem DMARC | DMARC só monitora | Margem de erro |
|---|---|---|---|---|---|
| Rio Grande do Sul | 1123 | 86,3% | 53,1% | 32,9% | ±2,9 p.p. |
| Santa Catarina | 1315 | 84,3% | 50,3% | 33,8% | ±2,7 p.p. |
| Paraná | 1363 | 87,7% | 52,5% | 35,1% | ±2,7 p.p. |
| Sul (total) | 3801 | 86,1% | 51,9% | 34,0% | ±1,6 p.p. |
| Demais estados | 3692 | 87,4% | 50,6% | 36,5% | ±1,6 p.p. |
As diferenças entre os três estados do Sul ficam dentro ou muito perto da margem de erro. A leitura correta não é "um estado está melhor que o outro", e sim que o problema é generalizado.
Resultado por setor
| Setor (CNAE principal) | Empresas analisadas | Sem bloqueio de falsificação | Sem DMARC | Margem de erro |
|---|---|---|---|---|
| Educação | 283 | 92,9% | 50,5% | ±5,8 p.p. |
| Serviços profissionais | 1105 | 88,1% | 53,5% | ±2,9 p.p. |
| Transporte e logística | 271 | 87,8% | 55,7% | ±6,0 p.p. |
| Construção | 404 | 87,4% | 54,0% | ±4,9 p.p. |
| Comércio | 1537 | 86,9% | 50,5% | ±2,5 p.p. |
| Indústria | 729 | 86,7% | 52,9% | ±3,6 p.p. |
| Tecnologia da informação | 388 | 83,5% | 44,6% | ±5,0 p.p. |
| Serviços financeiros e seguros | 432 | 81,2% | 49,1% | ±4,7 p.p. |
Setores com amostra menor têm margem de erro maior; por isso a tabela mostra a margem ao lado de cada número. Os resultados por setor somam empresas do Sul e dos demais estados.
Por que isso importa
Golpes por e-mail que se passam por fornecedores, bancos, escolas ou pela própria empresa dependem de o destinatário confiar no remetente. Quando o domínio não tem DMARC com política de bloqueio, o provedor de quem recebe fica sem orientação do dono do domínio e decide sozinho, por critérios próprios, se a mensagem é legítima. Grandes provedores têm filtros, mas nem toda mensagem falsificada é pega, e servidores corporativos menores costumam ser menos rigorosos.
O problema também atinge a reputação: quem recebe um boleto falso "da empresa X" não sabe que a empresa X foi vítima. Para quem tem clientes recorrentes, cobranças por e-mail ou compras B2B, esse é um dos vetores de fraude mais baratos para o criminoso e mais fáceis de fechar para a empresa.
O que cada registro faz
- SPF lista os servidores autorizados a enviar e-mail em nome do domínio.
- DKIM assina digitalmente as mensagens enviadas. Não foi medido nesta pesquisa, porque a verificação exige conhecer o seletor usado por cada empresa.
- DMARC diz ao provedor do destinatário o que fazer quando uma mensagem falha nas verificações: nada (p=none), mandar para quarentena (p=quarantine) ou rejeitar (p=reject).
O caminho recomendado é publicar SPF, ativar DKIM no serviço de e-mail, começar o DMARC em p=none para acompanhar os relatórios e, depois de corrigir os envios legítimos, subir para quarentena e rejeição. O passo a passo está no nosso guia de SPF, DKIM e DMARC.
Como verificar a sua empresa
O teste de segurança gratuito da LDL Security verifica SPF, DMARC e outros pontos do seu domínio em poucos segundos. Para uma avaliação completa, incluindo simulação de phishing e engenharia social, veja o serviço de red team.
Metodologia
- Base: dados abertos do Cadastro Nacional da Pessoa Jurídica publicados pela Receita Federal (edição de setembro de 2026). Foram lidos 14,2 milhões de registros de estabelecimentos, dos quais 5 milhões de matrizes com situação cadastral ativa.
- Seleção: do e-mail cadastrado, usamos apenas o domínio. Excluímos provedores gratuitos (como Gmail e Hotmail) e domínios associados a mais de três empresas, que em geral pertencem a escritórios de contabilidade. Restaram 234 mil domínios corporativos.
- Amostra: sorteio aleatório de 4.500 domínios de empresas do Sul (RS, SC e PR) e 4.500 dos demais estados. Foram descartados domínios que não existem mais (1298), que não recebem e-mail (135) ou com erro de consulta (74). A análise final considera 7493 empresas.
- Coleta: consulta pública aos registros DNS de MX, SPF e DMARC de cada domínio, feita em 15 de setembro de 2026. Nenhum servidor das empresas foi acessado.
- Critério de "sem bloqueio de falsificação": domínio sem DMARC em quarentena ou rejeição, ou sem SPF válido.
- Margem de erro: calculada para 95% de confiança, no pior caso.
- Privacidade: nenhum e-mail foi armazenado; a lista de domínios foi apagada ao final e só os números agregados foram mantidos. Nenhuma empresa é identificada nesta pesquisa.
- Limitações: o cadastro da Receita pode estar desatualizado; o e-mail cadastrado nem sempre é o domínio que a empresa usa no dia a dia; DKIM não foi medido; e a presença de DMARC em bloqueio não garante que toda a configuração de e-mail esteja correta.
Jornalistas e pesquisadores podem citar os dados mencionando a fonte "LDL Labs, LDL Security (setembro de 2026)". Para a base agregada, fale com a equipe pelo e-mail suporte@ldlsecurity.com.br.
Perguntas Frequentes
O que é falsificação de e-mail?
É o envio de uma mensagem que aparece como vinda do domínio de uma empresa sem ter sido enviada por ela. É a base de golpes de boleto falso, pedido de transferência e phishing que se passa por fornecedores ou pela própria empresa.
Ter DMARC em p=none já protege?
Não. O p=none serve para monitorar e receber relatórios. Ele não pede ao provedor que bloqueie nada. A proteção efetiva vem com p=quarantine ou p=reject, depois de ajustar SPF e DKIM.
Quantas empresas foram analisadas?
7493 empresas com domínio próprio que recebe e-mail, sorteadas entre 234 mil domínios corporativos extraídos dos dados abertos de CNPJ da Receita Federal, sendo 3801 do Sul e 3692 dos demais estados.
Como sei se o domínio da minha empresa está protegido?
Use o teste de segurança gratuito da LDL Security, que verifica SPF e DMARC do seu domínio. Se o resultado mostrar DMARC ausente ou em p=none, o domínio pode ser usado em e-mails falsificados.