Como o Analisador de E‑mail Fraudulento Funciona

O Analisador de E‑mail Fraudulento permite que você faça upload de um único arquivo .msg ou .eml (até 5 MB) e receba instantaneamente um veredicto na tela – Seguro, Suspeito, Perigoso ou Desconhecido – junto com conclusões concisas. Apenas um arquivo pode ser enviado por vez; um segundo arquivo na mesma requisição é rejeitado com “Only a single file may be uploaded”. Arquivos de qualquer outro tipo são rejeitados com “Only .msg and .eml files are supported”, e arquivos ilegíveis retornam “Could not parse this file — it may be corrupted or password‑protected”.

Limites de Uso

Usuários gratuitos podem analisar até cinco arquivos por dia, enquanto uma assinatura paga eleva o limite para quinze. Quando o limite é atingido, a ferramenta mostra um diálogo que compara os níveis gratuito e premium. Após a exibição de um resultado, você pode iniciar uma nova análise clicando no botão “Analyze Another File”, que reinicia a interface.

Determinação do Veredicto

O veredicto começa em Seguro e só é elevado – nunca reduzido – pelo achado mais grave no e‑mail. Os quatro resultados possíveis são:

• Seguro: nenhuma descoberta técnica ou impulsionada por IA eleva o nível.
• Suspeito: pelo menos uma descoberta de gravidade Suspeito (por exemplo, falha SPF, nome de anexo suspeito, link de exibição divergente).
• Perigoso: qualquer descoberta Perigosa (por exemplo, falha DKIM ou DMARC, documento Office com macro, contradição corpo‑vs‑anexo, identidade falsificada detectada por IA).
• Desconhecido: a revisão de IA não conseguiu formar um julgamento e nenhuma verificação técnica produziu um resultado.

Cada veredicto é acompanhado por tags curtas que nomeiam as verificações que o acionaram. Quando a IA sozinha dirige a decisão, a tag é ai-flagged; quando a IA está simplesmente inconclusiva, a tag é inconclusive. Um relatório completo colapsável contém uma narrativa em linguagem simples e uma lista de cada descoberta individual, rotulada com sua gravidade (Informativo, Suspeito, Perigoso) e origem (verificação técnica ou revisão de IA).

Verificações Técnicas

Autenticação do Remetente

O analisador lê os resultados SPF, DKIM e DMARC já registrados pelo servidor receptor. Nenhuma consulta DNS ao vivo é realizada. Uma falha DKIM ou DMARC é tratada como Perigosa, uma falha SPF como Suspeita, e a ausência de qualquer registro de autenticação é relatada como “não verificável” sem afetar o veredicto. Quando vários registros de autenticação existem, o mais próximo do destinatário é usado e seu servidor de origem é mostrado no relatório.

Verificações de Anexo

Nomes de arquivos de anexo são escaneados por 22 extensões executáveis ou de script conhecidas (por exemplo, .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Uma correspondência é sinalizada como Suspeita. Extensões duplas como invoice.pdf.exe são explicitamente relatadas como “uma técnica comum para disfarçar executáveis como documentos”. Arquivos Office com macro (.docm, .xlsm, .pptm) também são marcados como Suspeitos. A ferramenta compara a assinatura real do arquivo de cada anexo com sua extensão declarada; uma incompatibilidade é relatada como Suspeita com os tipos reivindicado e detectado listados. Arquivos Office modernos (.docx, .xlsx) são reconhecidos corretamente e não são sinalizados como arquivos disfarçados. O conteúdo dos anexos nunca sai do servidor e não é enviado ao modelo de IA; a IA recebe apenas o nome do arquivo e o tipo declarado.

Verificações de Link

Cada hiperlink no corpo do e‑mail é examinado quanto a disparidade entre o endereço exibido e a URL de destino real. Quando o texto visível parece um endereço web ou domínio e os dois diferem, o link é sinalizado como Suspeito e ambos os hosts são mostrados. Texto genérico de chamada à ação como “Click here” nunca aciona esta verificação, garantindo que botões normais não sejam marcados. Links nunca são visitados e nenhum serviço externo de reputação é consultado.

Revisão de IA

Além das verificações técnicas, uma única revisão de IA processa o assunto, o corpo em texto simples, o endereço do remetente, o nome exibido do remetente, a lista de anexos e todas as descobertas técnicas. A IA procura por nomes exibidos divergentes, typosquatting de marca, domínios semelhantes e contradições entre anexos reivindicados e reais. Qualquer contradição corpo‑vs‑anexo é classificada automaticamente como Perigosa. A IA gera uma narrativa em linguagem simples para o topo do relatório completo, destinada a usuários não técnicos. Se a revisão de IA não puder ser concluída mas as verificações técnicas já produziram descobertas, o veredicto técnico é exibido junto com um aviso de que a análise de IA estava indisponível. Se a IA não puder ser executada e não houver descobertas técnicas, a solicitação falha ao invés de retornar um falso resultado “Seguro”.

Limitações Transparentes

• Nenhuma re‑verificação DNS ao vivo de registros SPF, DKIM ou DMARC.
• Documentos com macro são sinalizados, mas seu código macro não é extraído nem analisado.
• Anexos nunca são executados, abertos em sandbox ou escaneados por um antivírus.
• Links são analisados somente como texto; não são seguidos e nenhum banco de dados de reputação é usado.