mail-shield/1.1.0 · atualizado em 9 de jul. de 2026

E-mail, spoofing e resposta a phishing

Como ler autenticação, falsificação e campanhas de e-mail com critérios de resposta.

O Mail no ADDA combina autenticação, reputação de domínio, links e contexto operacional para reduzir a incerteza antes de agir.

A resposta a phishing ganha velocidade quando e-mail, DNS, Evidence e incidents falam a mesma língua. Não se trata apenas de marcar uma mensagem como suspeita: também é importante explicar o risco, preservar a rastreabilidade e deixar recomendações claras de continuidade.

Se um domínio ou uma campanha de e-mail reaparecer, convém escalonar para Intelligence, watchlists ou takedown packs para não reiniciar cada análise do zero.

Checklist

• Verificar domínio e autenticação antes de decidir uma medida.
• Cruzar links, assunto e campanha se o caso parecer repetido.
• Conectar Evidence ou incident quando a descoberta afetar operações.

Início rápido

1. Valide domínio e spoofing antes de comunicar uma campanha.
2. Avalie se o caso exige denúncia de abuso, alerta antecipado ou incident.
3. Salve Evidence se a descoberta levou a bloqueio ou coordenação externa.

Fluxo operacional

Verificar o domínio

Leia SPF, DKIM, DMARC e sinais associados ao domínio observado.

Determinar se a falsificação exige reduzir a confiança.

Relacionar a campanha

Cruze links, assunto e padrões de repetição com incidents ou Intel.

Sair da análise de um único e-mail.

Responder

Defina se convém alertar, denunciar abuso, abrir incident ou preparar um pacote de resposta.

Dar um encerramento operacional e explicável.

flowchart LR
  S1["Verificar o domínio"]
  S2["Relacionar a campanha"]
  S3["Responder"]
  S1 --> S2
  S2 --> S3

Validadores e verificações

Executam uma leitura contextual desta superfície e devolvem passos sugeridos com foco operacional.

Verificar domínio de e-mail

Resume autenticação estimada, risco e próximos passos.

Exemplos

Payload para análise de e-mail

{
  "domain": "secure-capacero.ar",
  "subject": "Actualizá tu acceso ahora",
  "links": [
    "http://secure-capacero.ar/login"
  ]
}

Links e referências

Rotas relacionadas

E-mail no workspace Centro de incidentes

APIs

/api/adda/v1/mail/analyze
/api/adda/v1/mail/check-domain
/api/adda/v1/reports/abuse

Docs e rotas de apoio

docs/ADDA_API.md
docs/ADDA_INTEL.md

Problemas frequentes

• Analisar apenas o domínio e não os links pode subestimar a campanha.
• Responder a phishing sem Evidence ou incident dificulta reconstruir o histórico do caso.

Ações sugeridas

• Se o e-mail levar a medidas públicas ou institucionais, sele Evidence.
• Escale para watchlists ou takedown pack se o padrão reaparecer ou se replicar.

Reason codes úteis

DNS_SUSPICIOUS

O domínio associado ao e-mail mostra sinais de risco.

Reforçar a validação antes de assumir legitimidade.

UA_SUSPICIOUS

Os links ou agentes associados ao caso parecem pouco confiáveis.

Adotar uma postura de verificação ou contenção.

Dicionário de score

spoofingRiskScore

Risco combinado de autenticação e falsificação.

severity

Prioridade do e-mail ou domínio analisado.

reasonCodes

Motivos defensivos usados para explicar a descoberta.

Notas do protocolo

• Phishing costuma ser multicanal: conecte Mail com DNS, incidents e Intel.

Histórico do artigo

9 de jul. de 2026

Novo artigo operacional para resposta a phishing e spoofing.