Na primeira edição do LDL Labs, a educação apareceu como o setor com menos proteção contra e-mail falsificado. Nesta edição, olhamos o setor em detalhe: escolas, faculdades, cursos e demais instituições de ensino privadas com domínio próprio. Só 7,0% delas bloqueiam e-mails falsificados em seu nome, metade da taxa dos demais setores (13,7%).
Para instituições que se comunicam o tempo todo com famílias, com boletos de mensalidade, avisos e matrículas, isso abre espaço para um golpe difícil de identificar: a mensagem falsa chega com o endereço real da escola.
Educação comparada aos demais setores
| Indicador | Educação | Demais setores |
|---|---|---|
| Instituições analisadas | 284 | 7217 |
| Sem SPF | 15,5% | 8,9% |
| Sem DMARC | 50,7% | 51,3% |
| DMARC só monitora (p=none) | 42,3% | 34,9% |
| DMARC que bloqueia | 7,0% | 13,7% |
| Domínio do cadastro que não existe mais | 17,1% | 14,5% |
A margem de erro da educação é maior que a dos demais setores por causa do tamanho da amostra. Mesmo assim, as diferenças no bloqueio (7% contra 14%) e na ausência de SPF (15% contra 9%) são estatisticamente significativas.
O Google Workspace domina, e a configuração fica pela metade
33,5% das instituições de ensino usam Google Workspace, contra 20,8% nos demais setores, possivelmente pelos planos oferecidos a instituições de ensino. Como mostramos na edição sobre provedores de e-mail, esse é o grupo em que menos domínios têm SPF e DMARC configurados: o serviço funciona sem esses registros, e a configuração de autenticação acaba esquecida.
Por que o setor é alvo
- Dados de menores de idade: a LGPD exige tratamento no melhor interesse de crianças e adolescentes, e um incidente nesse contexto é tratado com mais rigor.
- Muitos usuários com contas institucionais: alunos, professores e responsáveis, com rotatividade alta a cada semestre.
- Pagamentos recorrentes: boletos de mensalidade e matrícula são isca perfeita para e-mails falsos.
- Histórico de ataques: universidades brasileiras já ficaram com sistemas fora do ar por semanas depois de ataques cibernéticos, como a UFGD em 2021.
Três ações para instituições de ensino
- Complete a autenticação do e-mail: SPF, DKIM e DMARC até p=reject. O passo a passo está em SPF, DKIM e DMARC.
- Avise as famílias sobre o canal oficial de cobrança e oriente a confirmar qualquer mudança de conta bancária por outro meio.
- Teste portais de aluno e sistemas acadêmicos: veja o que avaliamos em pentest para instituições de ensino.
Metodologia
- Base: dados abertos do Cadastro Nacional da Pessoa Jurídica publicados pela Receita Federal (setembro de 2026), mesma base da primeira edição do LDL Labs: 5 milhões de matrizes ativas, das quais extraímos 234 mil domínios corporativos (sem Gmail, Hotmail e similares, e sem domínios compartilhados por mais de três empresas).
- Amostra: 9 mil domínios sorteados, metade de empresas do Sul (RS, SC e PR) e metade dos demais estados.
- Coleta: consulta pública a registros de DNS em 15 de setembro de 2026. Nenhum servidor das empresas foi acessado.
- Privacidade: nenhum e-mail foi armazenado, a lista de domínios foi apagada ao final e nenhuma empresa é identificada.
- Setor: empresas com CNAE principal na divisão 85 (educação). Foram analisadas 284 instituições com domínio existente que recebe e-mail.
- Critérios: "DMARC que bloqueia" significa política p=quarantine ou p=reject.
Jornalistas e pesquisadores podem citar os dados como "LDL Labs, LDL Security (setembro de 2026)".
Perguntas Frequentes
Escolas estão mais expostas a e-mail falsificado que outras empresas?
Na amostra do LDL Labs, sim: só 7,0% das instituições de ensino bloqueiam e-mails falsificados em seu nome, contra 13,7% dos demais setores.
Como uma escola pode evitar boleto falso enviado em seu nome?
Configurando SPF, DKIM e DMARC com política de bloqueio, e orientando as famílias sobre os canais oficiais de cobrança e sobre como confirmar alterações de pagamento.
O Google Workspace for Education já vem protegido?
O serviço oferece os recursos, mas SPF e DMARC precisam ser publicados pela instituição no DNS do domínio. Na pesquisa, a maioria das instituições que usam o Google não completou essa configuração.
A LGPD exige que escolas façam testes de segurança?
A lei não usa a palavra pentest, mas exige medidas de segurança adequadas (art. 46) e cuidado especial com dados de crianças e adolescentes (art. 14). Testes de segurança são a forma de demonstrar que essas medidas funcionam.