Se você pretende aproveitar o próximo feriado para garantir aquela passagem em promoção, atenção redobrada: 53% dos 40 maiores portais de turismo do Brasil não utilizam o nível máximo de proteção DMARC contra fraudes por e-mail. O dado, revelado por um levantamento da Proofpoint, expõe milhões de viajantes a mensagens falsas que imitam confirmações de reserva, alterações de voo ou “ofertas imperdíveis” — tudo para roubar dinheiro e dados pessoais.
Por que o DMARC é o “cinto de segurança” do e-mail?
O DMARC (Domain-based Message Authentication, Reporting and Conformance) atua como um verificador de identidade digital. Ele cruza informações de dois outros protocolos — SPF e DKIM — para confirmar se o remetente é legítimo. Existem três políticas de ação:
- Monitor (p=none): apenas observa tentativas de falsificação.
- Quarantine (p=quarantine): coloca e-mails suspeitos em quarentena.
- Reject (p=reject): bloqueia completamente mensagens fraudulentas.
Apenas 47% dos sites de viagens brasileiros aplicam o modo “reject”. Pior: 15% sequer publicaram qualquer registro DMARC. Para o usuário, isso significa maior chance de receber uma mensagem idêntica à da agência ou companhia aérea — só que controlada por golpistas.
Turismo em alta, risco em alta
A temporada de verão 2024/25 promete movimentar mais de R$ 147 bilhões, segundo a pesquisa, com 97% dos brasileiros preferindo destinos nacionais. Esse boom de transações de alto valor atrai criminosos, que têm facilidade em disparar e-mails falsos durante períodos de maior busca, como Black Friday e Cyber Monday.
Golpes mais comuns — e como reconhecê-los
- Confirmações de reserva falsas: o e-mail chega com logotipo, código de reserva e link para “ver detalhes”. O endereço real, porém, leva a um formulário que captura suas credenciais.
- Ofertas relâmpago “all inclusive”: preços muito abaixo da média para pacotes de luxo. Exigem “pagamento imediato” via PIX ou boleto.
- Taxas e reajustes de última hora: pedido de complemento de tarifa ou “taxa de combustível” antes do embarque.
Passo a passo para blindar sua próxima viagem
Mesmo que o site onde você reserva não use DMARC, é possível diminuir os riscos:
- Ative autenticação em duas etapas (2FA): sempre que disponível. Chaves de segurança físicas U2F, como as da Yubico ou Feitian (vendidas na Amazon), oferecem camadas extras ao impedir login sem o dispositivo.
- Digite a URL manualmente: abra o navegador e insira o endereço do site. Evite clicar em links enviados por e-mail ou redes sociais.
- Desconfie de urgência: golpes apelam para pressa. Pare, confira o remetente completo e compare com e-mails anteriores legítimos.
- Use um bom gerenciador de senhas: além de criar combinações fortes, ele avisa se o site digitado não corresponde ao domínio salvo.
- Pesquise reputação: sites como Reclame Aqui e Trustpilot ajudam a filtrar agências recém-criadas apenas para aplicar golpes.
E o setor, o que perde com isso?
Além de prejudicar consumidores, a falta de DMARC impacta a própria entrega de campanhas legítimas. Provedores como Gmail e Outlook dão prioridade a domínios protegidos, aumentando a taxa de abertura e a confiança na marca. Grandes e-commerces e bancos já tratam o DMARC “reject” como requisito mínimo há anos, enquanto o turismo online ainda engatinha.
Imagem: Internet
O que esperar para 2025?
A nova Lei Geral de Proteção de Dados (LGPD) prevê multas de até 2% do faturamento para companhias que facilitam vazamentos. Especialistas estimam que, em 2025, provedores comecem a rejeitar por padrão e-mails de domínios sem DMARC. Empresas de turismo que demorarem a adotar o protocolo podem não apenas perder clientes como também ver seus e-mails legítimos caírem direto no spam.
No fim das contas, proteger o e-mail corporativo é tão essencial quanto investir em motores de busca de passagens ou apps de check-in. Para o viajante, a lição é simples: informação é seu melhor seguro viagem — e ela começa antes mesmo de fazer as malas.
Com informações de TecMundo
