LDL Labs é a área de pesquisa da LDL Security. Antes da temporada do IPTU, verificamos se as prefeituras do Rio Grande do Sul impedem que golpistas mandem e-mail falso usando o endereço oficial delas. O resultado: 74,4% das 484 prefeituras gaúchas cujo domínio recebe e-mail não instruem os provedores a bloquear e-mail falsificado. São 360 prefeituras, ou três em cada quatro. Nesses municípios mora 67,4% da população analisada (Censo 2022): dois em cada três gaúchos.
O carnê do IPTU chega no começo do ano, e o contribuinte espera cobrança da prefeitura. É quando um e-mail falso com o endereço certo engana mais: o golpista manda o boleto com o endereço real da prefeitura, e o servidor de quem recebe não tem, do lado dela, ordem para recusar a mensagem.
Principais números
- 74,4% das prefeituras (360 de 484) não bloqueiam e-mail falsificado; 25,6% (124) bloqueiam.
- 44,6% nem têm DMARC, e 29,3% o deixam só em monitoramento (p=none).
- Só 4,1% (20, ou 1 em cada 25) mandam recusar a mensagem falsa (p=reject). A maioria das que bloqueiam (104 de 124) manda para a quarentena.
- 97,7% têm SPF válido. O que falta é o DMARC que manda bloquear.
- Das 142 em p=none, só 39 (27,5%) pedem os relatórios DMARC (rua=).
- Nas cidades de até 10 mil habitantes, dois terços da base (322), 77,3% não bloqueiam.
O que cada registro faz
- SPF lista os servidores autorizados a mandar e-mail em nome do domínio.
- DMARC diz ao provedor de quem recebe o que fazer com a mensagem que falha na verificação: nada (p=none), mandar para a quarentena, em geral o spam (p=quarantine), ou recusar (p=reject).
O p=none só registra, não bloqueia. Por isso, como nos estudos anteriores, só bloqueia quem tem SPF válido e DMARC em quarentena ou rejeição.
Resultado por região
| Mesorregião (IBGE) | Prefeituras | Não bloqueiam | Sem DMARC | DMARC em p=none | Quarentena | Rejeição |
|---|---|---|---|---|---|---|
| Noroeste | 205 | 78,0% | 54,1% | 23,4% | 18,5% | 3,4% |
| Centro Oriental | 53 | 75,5% | 47,2% | 28,3% | 18,9% | 5,7% |
| Sudeste e Sudoeste | 44 | 75,0% | 36,4% | 38,6% | 13,6% | 11,4% |
| Nordeste | 53 | 71,7% | 34,0% | 37,7% | 28,3% | 0% |
| Centro Ocidental | 31 | 71,0% | 19,4% | 48,4% | 29,0% | 0% |
| Metropolitana de Porto Alegre | 98 | 68,4% | 40,8% | 27,6% | 26,5% | 5,1% |
A diferença entre as regiões é pequena, de 68% a 78%. No Noroeste, mais da metade (54,1%) nem publicou DMARC; no Centro Ocidental e no sul, o DMARC em geral existe, mas fica em p=none. O Sudoeste, com 19 prefeituras, abaixo do mínimo de 20, aparece somado ao Sudeste.
Resultado por porte do município
| Porte (Censo 2022) | Prefeituras | Não bloqueiam | Sem DMARC | DMARC em p=none | Quarentena | Rejeição |
|---|---|---|---|---|---|---|
| Até 10 mil habitantes | 322 | 77,3% | 48,1% | 28,6% | 19,9% | 2,8% |
| De 10 mil a 50 mil | 119 | 73,9% | 43,7% | 30,3% | 23,5% | 2,5% |
| De 50 mil a 100 mil | 24 | 50,0% | 20,8% | 29,2% | 33,3% | 16,7% |
| Acima de 100 mil | 19 | 57,9% | 21,1% | 36,8% | 21,1% | 21,1% |
As cidades pequenas são as mais expostas. Acima de 50 mil habitantes o resultado melhora, mas a metade ou mais ainda deixa passar. Os dois grupos acima de 50 mil são pequenos (24 e 19 prefeituras): neles, uma só prefeitura mexe de 4 a 5 pontos percentuais.
Filtro antispam não resolve
Pelo servidor de e-mail (o MX) e pela rede dele, ao menos 89,3% das prefeituras (432 de 484) têm o e-mail em infraestrutura de terceiros. Das 31 que usam um filtro antispam de terceiros, 80,6% não bloqueiam. O filtro protege a caixa de entrada da prefeitura, mas não impede que o golpista use o nome dela: esse pedido de bloqueio vem do DMARC, que só a prefeitura pode publicar.
Endereço .gov.br e endereço .com.br
Pelas regras do Registro.br, o .gov.br é exclusivo de órgãos do governo federal, e prefeituras recebem um endereço abaixo da sigla do estado (no RS, rs.gov.br), pedido aos responsáveis por esse domínio. Já o .com.br aceita registro de qualquer pessoa ou empresa, com CPF ou CNPJ. Na base, 448 das 484 prefeituras usam .gov.br, e 36 (7,4%) usam como domínio oficial um .com.br ou .com. Nesse grupo, 80,6% não bloqueiam; entre as que usam .gov.br, são 73,9%.
Comparação com os estudos anteriores
Com o mesmo critério e a mesma base (domínios que recebem e-mail) do estudo de setembro sobre as empresas do Sul e do estudo da Black Friday, as prefeituras ficam no meio: não bloqueiam 74% delas, 86% das empresas do Sul e 42% das maiores lojas online. O que separa prefeitura de loja é o DMARC: 44,6% das prefeituras nem o têm, contra 4,6% das lojas, e só 4,1% estão em p=reject, contra 31,1%.
Atenção na comparação: são populações diferentes. Em setembro, uma amostra sorteada de 7.493 empresas da base de CNPJ; na Black Friday, as 151 maiores lojas online que recebem e-mail; agora, todas as prefeituras de um estado. O dado mostra a distância entre os grupos, e não uma série no tempo.
Como o contribuinte se protege do boleto falso de IPTU
Remetente certo não prova nada: em três de cada quatro prefeituras gaúchas, o golpista consegue usar o endereço oficial.
- Pegue o boleto no site oficial da prefeitura, digitando o endereço. Use o endereço que você já conhece ou o do carnê de anos anteriores, e não link de mensagem ou de anúncio. Na maioria das cidades gaúchas, ele termina em .rs.gov.br. Se recebeu outro boleto, compare valor, vencimento e código.
- Desconfie de e-mail e de WhatsApp com link. Não pague por link ou anexo recebido por e-mail, SMS ou WhatsApp, mesmo com o brasão da prefeitura. Desconto só "até hoje" e ameaça de protesto são sinais de golpe.
- Confira o beneficiário no app do banco antes de pagar. Tem de ser o município, com o nome e o CNPJ da prefeitura. No Pix, vale o mesmo: pessoa física ou empresa desconhecida é golpe.
- Olhe o começo do código de barras. No padrão da FEBRABAN, o número de toda guia de arrecadação começa com 8, e o segundo dígito 1 indica o segmento das prefeituras. O boleto bancário segue outro padrão. Nenhuma pista, sozinha, prova que o documento é verdadeiro.
- Se já pagou, aja na hora. Avise o banco (no Pix, peça o MED, o Mecanismo Especial de Devolução do Banco Central) e registre ocorrência.
O que a prefeitura pode fazer antes dos carnês
A correção não exige trocar de sistema nem de provedor: o DMARC é um registro de texto no DNS.
- Publicar o DMARC onde ele não existe, já com o endereço para receber os relatórios (rua=). Dá para começar em p=none.
- Sair do p=none com a ajuda dos relatórios. Eles mostram quem manda e-mail com o nome do domínio, inclusive envios legítimos que ainda falham, como o do sistema de tributos. Corrigidos esses envios, suba para p=quarantine e depois para p=reject, também nos subdomínios.
- Conferir o SPF: um registro só, com todos os serviços que mandam e-mail pela prefeitura, de preferência terminado em -all.
- Avisar o contribuinte sobre o canal oficial: no site e no carnê, dizer por onde a cobrança chega e por onde nunca chega.
- Testar. O teste de segurança gratuito da LDL Security confere SPF e DMARC em segundos, e o guia de SPF, DKIM e DMARC traz o passo a passo.
O e-mail é só uma das portas. Para uma revisão mais ampla, a LDL Security, de Porto Alegre, faz pentest no Rio Grande do Sul e consultoria de LGPD.
As maiores cidades
Entre as cidades gaúchas em que a LDL Security tem página de atendimento no Rio Grande do Sul, três prefeituras bloqueiam e-mail falsificado: Caxias do Sul, Pelotas e Santa Maria. Pelotas é a única com política de rejeição. Nas outras oito, a configuração ainda não pede o bloqueio.
| Cidade | DMARC do domínio da prefeitura | Bloqueia e-mail falso? |
|---|---|---|
| Porto Alegre | Monitoramento (p=none) | Não |
| Caxias do Sul | Quarentena | Sim |
| Canoas | Sem DMARC | Não |
| Pelotas | Rejeição | Sim |
| Santa Maria | Quarentena | Sim |
| Novo Hamburgo | Monitoramento (p=none) | Não |
| São Leopoldo | Monitoramento (p=none) | Não |
| Passo Fundo | Sem DMARC | Não |
| Bento Gonçalves | Monitoramento (p=none) | Não |
| Canela | Monitoramento (p=none) | Não |
| Gramado | Sem DMARC | Não |
Situação em 13/11/2026. Antes da publicação, a LDL Labs avisou cada uma das oito prefeituras, com o que encontrou no domínio e como corrigir. Se alguma corrigir a configuração, atualizamos a tabela.
O levantamento também encontrou 11 prefeituras cujo site, no cadastro "Órgãos auditados" do TCE-RS, aponta para um domínio que não existe mais. Domínio abandonado pode ser registrado por terceiros e usado em golpe com aparência oficial. Para não facilitar esse uso, não divulgamos quais são. As 11 prefeituras foram avisadas.
Metodologia
- Municípios: os 497 do RS, pelo IBGE, com a população do Censo 2022. A base soma 10,83 milhões de pessoas, 99,5% do estado.
- Domínios: do cadastro de órgãos auditados do TCE-RS, em dados abertos (licença Creative Commons Atribuição), com o site oficial do Wikidata como conferência e reserva: 475 vieram do TCE-RS e 22 do Wikidata. Plataforma que atende várias prefeituras não conta, e nenhum domínio foi deduzido do nome da cidade.
- Base: as 484 prefeituras cujo domínio recebe e-mail (tem MX); ficaram fora 13 municípios em que nenhum domínio com fonte recebe e-mail. É um censo, sem margem de erro amostral.
- DNS: consulta pública a MX, SPF e DMARC (p=, sp=, pct= e rua=) em 13/11/2026, por resolvedores da Cloudflare, do Google e da Quad9. Nenhum servidor das prefeituras foi acessado.
- Critério: não bloqueia quem não tem DMARC em quarentena ou rejeição, ou não tem SPF válido. DMARC duplicado e SPF malformado contam como inválidos (RFCs 7489 e 7208); lendo só o primeiro DMARC, como na Black Friday, seriam 74,0%.
- Privacidade: nenhuma prefeitura é identificada, nem como exemplo.
Jornalistas e pesquisadores podem pedir os números agregados pelo e-mail suporte@ldlsecurity.com.br.
Limitações
- Um domínio por prefeitura. Algumas mandam e-mail de outro domínio ou de subdomínio. Medimos o domínio oficial, que é o que o golpista imita.
- Cadastros. O TCE-RS e o Wikidata podem estar desatualizados. Domínios deduzidos do nome da cidade ficaram fora; com eles, seriam 74,5%.
- Uma porta só. O estudo não mede endereço parecido nem golpe por site falso ou WhatsApp: o DMARC só protege o domínio exato.
- DKIM não foi medido, e DMARC em bloqueio não garante que todo o e-mail esteja bem configurado.
- Provedor de e-mail. A classificação usa uma lista de nomes definida por nós.
- Retrato de 13/11/2026. As prefeituras podem mudar a configuração antes de janeiro.
Perguntas Frequentes
Se a prefeitura não bloqueia, todo e-mail falso chega ao contribuinte?
Não necessariamente. Grandes provedores têm filtros próprios, mas nem toda mensagem falsificada é pega. Sem a ordem do dono do domínio, o provedor decide sozinho.
E-mail com remetente terminado em .rs.gov.br é sempre da prefeitura?
Não. O remetente pode ser falsificado, e em 74,4% das prefeituras gaúchas o domínio não pede o bloqueio da mensagem falsa. O .gov.br impede que um estranho registre o endereço, mas não que o use no remetente.
Ter DMARC em p=none já protege?
Não. O p=none serve para monitorar e receber relatórios, e não pede bloqueio. A proteção vem com p=quarantine ou p=reject. Entre as prefeituras do RS, 29,3% estão em p=none.
Como saber se o boleto do IPTU é verdadeiro?
Tire a segunda via no site oficial, digitando o endereço, e compare. Antes de pagar, confira no app do banco se o beneficiário é o município. Na guia de arrecadação, o código de barras começa com 8.
Dá tempo de corrigir antes de janeiro?
A mudança é uma linha no DNS. O que leva tempo é conferir os sistemas que mandam e-mail pela prefeitura, e os relatórios DMARC mostram esse mapa. Dá para começar pela quarentena, que manda a mensagem suspeita para o spam.
Leia também
Para citação: LDL Labs, da LDL Security. Dados públicos de DNS, coletados em 13/11/2026.