Barracuda: Um único e-mail de phishing agora ataca tanto o destinatário quanto a IA de sua caixa de entrada

Em 7 de outubro de 2026, a Barracuda Research publicou uma análise de uma campanha de phishing criada para atingir dois leitores com a mesma mensagem: a pessoa que a recebe e o assistente de IA que resume sua caixa de entrada. A metade voltada para humanos é trivial — um anexo protegido por senha cuja senha está escrita no corpo, uma combinação que a Barracuda afirma que "cria um ponto cego para os controles tradicionais de segurança de e-mail". A segunda metade é nova. Escondidas dentro do mesmo e-mail — em comentários HTML, texto invisível via CSS, blocos codificados em Base64 e caracteres de largura zero — estão instruções direcionadas a qualquer modelo que analise a mensagem, destinadas a fazer o assistente "apresentar o e-mail de phishing como legítimo ou urgente" ou fazer com que ele aja por conta própria.

A Barracuda afirma que a amostra que examinou estava disfarçada de correspondência interna de rotina e tinha uma pontuação de spam confiável, e que era originária de um domínio do setor público. O arquivo não registra nenhuma vítima confirmada nem dano relatado: esta é uma constatação de pesquisa sobre um padrão de ataque, não a divulgação de uma organização comprometida. A Barracuda não divulgou a escala da campanha, e nem a Infosecurity Magazine nem o The Hacker News — ambos os quais cobriram a pesquisa — conseguiram acrescentar um número.

O que a Barracuda realmente publicou

O artigo é um post de blog de pesquisa de ameaças de um fornecedor, intitulado "Threat Spotlight: Ataques de e-mail visam tanto humanos quanto IA na mesma mensagem" e assinado por Guruprasad Kenja, descrito como analista de ameaças da Barracuda. Está datado de 7 de outubro de 2026 no caminho do URL e traz um carimbo "Atualizado: 6 de out. de 2026" na própria página; a notícia da Infosecurity Magazine, de Alessandro Mascellino, está datada de 7 de outubro, e o resumo ThreatsDay no The Hacker News, publicado no dia 8, aponta para o mesmo post da Barracuda. A discrepância de um dia entre a data do URL e o carimbo na página é da própria Barracuda e não é explicada por nenhum dos três.

O enquadramento da Barracuda é que o assistente se tornou uma segunda superfície de ataque. Nas palavras da empresa, as organizações "devem proteger não apenas os usuários e as caixas de entrada, mas também os sistemas de IA que consomem e atuam sobre dados de e-mail." A pesquisa descreve uma única mensagem com dois payloads, e não um novo exploit: a isca convencional de engenharia social é o que um filtro foi criado para apanhar, e a injeção de prompt é colocada onde um filtro historicamente não olhou.

A amostra: construída para passar nas verificações de reputação.

A Barracuda lista três propriedades da mensagem que, segundo seu relato, ajudaram-na a escapar da filtragem baseada em reputação:

• Os endereços De e Para eram a mesma caixa de correio, então a mensagem foi interpretada como uma nota para si mesmo, e não como correio externo.

• Continha uma pontuação fidedigna de confiança de spam.

• Teve origem em um domínio do setor público.

A Barracuda não nomeia o domínio do setor público, não diz se esse domínio era a origem genuína da mensagem ou uma origem falsificada, e não informa a data em que a mensagem foi observada. Essas lacunas são importantes para qualquer pessoa que tente avaliar o quão perto a campanha chegou de funcionar, e são lacunas na fonte primária, não algo que outro veículo tenha preenchido.

A metade oculta: quatro maneiras de contrabandear as instruções

A Barracuda nomeia quatro técnicas como as que ela vê com frequência. Todas as quatro dependem da mesma assimetria: um cliente de e-mail renderiza uma mensagem de uma forma, enquanto o modelo que lê o código-fonte bruto vê tudo o que o cliente ocultou.

Cada item dessa lista é uma descrição de um portador, não de um efeito, e a Barracuda é explícita de que as injeções são projetadas para funcionar no assistente, e não na pessoa. A etiqueta de tipo do registro é IPI — injeção indireta de prompt —, que é o termo padrão para instruções que chegam dentro de conteúdo que se pede que um modelo processe, em vez de serem digitadas pelo seu usuário.

O que as injeções deveriam fazer

A descrição da Barracuda sobre os objetivos do payload segue duas trilhas. A trilha mais suave tenta distorcer o resumo: se o humano ignorar o anexo, o texto oculto tem a intenção de fazer o assistente descrever a mensagem como legítima ou urgente, pressionando o destinatário a abrir e clicar. A Barracuda diz que nenhuma dessas instruções é visível ao usuário. A trilha mais dura tenta transformar o assistente no agente — dizendo a ele para "ignorar suas instruções anteriores" e, em vez disso, enviar um pedido urgente para transferir fundos, vazar dados ou apresentar uma falsa ação urgente.

Os exemplos do mundo real citados pela Barracuda mostram o mesmo mecanismo aplicado a outros fluxos de trabalho mediados por IA:

• Um e-mail de fatura contendo um bloco de texto oculto que instrui o modelo de sumarização a adicionar uma ação prioritária falsa que altera os dados de pagamento do fornecedor, induzindo um funcionário a transferir dinheiro para o atacante.

• Um currículo cujo texto oculto instrui uma ferramenta de triagem por IA a avaliar o candidato com nota 10 de 10 e recomendar uma entrevista imediata, independentemente das qualificações.

• Um pedido apresentado como um "modo de manutenção ou de administração" autorizado que pede a um bot de suporte que revele a sua própria configuração.

• Documentação envenenada em uma página que um assistente de programação lê, instruindo-o a inserir uma linha de exfiltração de credenciais sempre que ele gera código de autenticação.

Estes são descritos como exemplos da técnica, não como violações confirmadas. Nada na publicação da Barracuda diz que um modelo de sumarização, uma ferramenta de triagem, um bot de suporte ou um assistente de programação tenham de fato obedecido em uma implantação real, e o arquivo registra real_harm como falso.

O que está estabelecido e o que não está

A distinção importa mais aqui do que na maioria dos relatos de incidentes, porque o registro descreve um projeto, e não um resultado.

• Estabelecido: A Barracuda Research examinou uma campanha de phishing que combinava um anexo protegido por senha com injeção de prompt oculta na mesma mensagem, e publicou sua análise em 7 de outubro de 2026. As quatro técnicas de ocultação e os quatro exemplos de uso são declarados nessa publicação. Dois veículos independentes — Infosecurity Magazine e The Hacker News — relataram as mesmas descobertas sem contradizê-las, e é por isso que a confiança do registro é classificada como A.

• Não está estabelecido: se algum assistente foi de fato sequestrado, quantas mensagens foram enviadas, quem as recebeu e se houve movimentação de dinheiro ou vazamento de dados. A Barracuda se recusou a divulgar a escala da campanha. Nenhum regulador, organização de vítimas ou fornecedor de segurança corroborou um comprometimento específico, e nenhuma parte nomeada está vinculada à amostra.

• Não contestado: nada na cobertura contradiz o relato da Barracuda. As questões em aberto são omissões, não discordâncias — e o arquivo não registra a constatação como contestada.

O registro é classificado como um achado de pesquisa com gravidade média, com envolvimento de IA confirmado — o assistente de IA é o alvo em torno do qual a campanha foi projetada, e é a razão pela qual a mensagem é incomum. Não está classificado como um marco, e não há intervalo de datas: a análise descreve um único ponto no tempo, 7 de outubro de 2026, e não uma janela de campanha.

As mitigações que a Barracuda recomenda

A posição da Barracuda é que "nenhum controle isolado impediria todas as variações", portanto suas recomendações são um conjunto de camadas, e não uma correção. Ela aconselha remover elementos ocultos, comentários e caracteres invisíveis do conteúdo antes que esse conteúdo chegue a um sistema de IA; detectar frases de substituição de instruções como assinatura de injeção de prompt; executar assistentes em sandbox para que seu alcance seja limitado; validar a saída antes que uma resposta do assistente dispare uma ação; e exigir aprovação humana para pagamentos, mudanças de fornecedores e outras decisões sensíveis. Ela também recomenda monitorar tentativas repetidas de injeção e afirma que o princípio subjacente é tratar conteúdo externo "sempre apenas como dados e mantê-lo separado das instruções".

O post também aponta para os próprios produtos da Barracuda — Email Gateway Defense, Behavioral AI e Automated Threat Response — como os controles que a empresa vende para o lado de filtragem e remediação. Trata-se de um fornecedor recomendando seu próprio catálogo, e vale a pena lê-lo nessa condição: as recomendações técnicas são independentes dos produtos, mas o post não testa nem as recomendações nem os produtos em relação à campanha que descreve.

Por que vale a pena manter o registro

O valor específico desta entrada é documentar o ponto em que duas defesas anteriormente separadas deixam de abranger a mesma mensagem. Um anexo protegido por palavra-passe contorna a análise de conteúdo porque o scanner não consegue abrir o ficheiro; uma injeção de prompt oculta contorna a pontuação de reputação porque a pontuação de reputação olha para os remetentes, não para o que um modelo de linguagem fará com o corpo. Coloque-os num único e-mail e os modos de falha acumulam-se: um filtro que deixa a mensagem passar com base numa pontuação fidedigna também deixou passar o payload destinado a quem ou ao que quer que leia a caixa de entrada a seguir. A amostra da Barracuda é a demonstração de que esta composição não é hipotética.

Este registro — a descoberta de phishing de alvo duplo da Barracuda — é uma entrada no OrcaRouter AI Incident Archive, que acompanha incidentes de IA, descobertas de pesquisa e avaliações com os mesmos campos usados acima: gravidade, confiança, status contestado e dano real.