DNS: o ponto cego da segurança que está expondo empresas
Você tem firewall. Tem antivírus. Tem SIEM. Sente que sua empresa está protegida, mas essa sensação pode ser exatamente o maior risco que você corre hoje.
Existe um protocolo que opera silenciosamente em 100% dos dispositivos da sua rede, que raramente é inspecionado em profundidade pelas soluções de segurança convencionais, e que está sendo explorado ativamente por atacantes para roubar dados, instalar malware e estabelecer canais de controle remoto. Esse protocolo é o DNS (Domain Name System).
Neste artigo, vamos mostrar por que o DNS se tornou o novo campo de batalha da cibersegurança, quais ameaças ele esconde e o que os dados reais de empresas brasileiras revelam sobre esse problema.
O que é o DNS e por que ele é tão crítico
O DNS é um dos protocolos mais fundamentais da internet. Cada vez que um usuário acessa um site, envia um e-mail ou conecta um dispositivo IoT à rede, uma consulta DNS é realizada para traduzir nomes legíveis (como "bancodobrasil.com.br") em endereços IP. Sem o DNS, a internet simplesmente não funcionaria.
O problema é que o DNS foi projetado originalmente como uma ferramenta simples de tradução, sem mecanismos nativos de segurança. Por essa razão, o tráfego DNS historicamente passa sem inspeção pela maioria das soluções de segurança, inclusive firewalls e sistemas de detecção de intrusão.
Os números deixam claro o tamanho do desafio: 88% das organizações globais sofrem ataques DNS anualmente, segundo a IDC. Em apenas três meses, a Infoblox identificou 7,6 milhões de novos domínios maliciosos. E o custo médio por ataque DNS para uma empresa chega a US$ 942 mil.
Por que os atacantes adoram o DNS
Não é por acaso que o DNS se tornou um vetor de ataque tão explorado. Quatro características tornam esse protocolo especialmente atraente para agentes maliciosos:
Onipresença: Praticamente todo dispositivo IP precisa de DNS para funcionar, o que o transforma em um canal de comunicação universal. Estando assim disponível em servidores, computadores, smartphones, câmeras IP e dispositivos de IoT.
Baixa inspeção: A maioria dos firewalls e proxies não inspeciona o tráfego DNS em profundidade, permitindo que comunicações maliciosas passem despercebidas.
Versatilidade: O protocolo DNS pode ser abusado para exfiltrar dados, estabelecer canais de comando e controle (C2) e distribuir malware sem uso de arquivos.
Evasão: Técnicas como DNS tunneling, Domain Generation Algorithms (DGA) e DNS over HTTPS (DoH) permitem que atacantes contornem controles de segurança tradicionais.
Em nosso webinar “DNS em foco”, nosso gerente de engenharia Pedro Teixeira explica que “o ransomware, quando se instala em uma máquina, a primeira coisa que faz é resolver um nome DNS para acessar o servidor de comando e controle. Se essa resolução for bloqueada, o ataque é interrompido em 99% dos casos.”
As 10 categorias de ameaças que usam o DNS
Compreender as diferentes formas pelas quais o DNS é explorado é fundamental para avaliar o grau de exposição de uma organização. As principais categorias incluem:
- Domínios maliciosos: Sites conhecidos que hospedam malware, phishing ou ferramentas para atacantes.
- Domínios de alto risco: Domínios com indicadores suspeitos, mas ainda não confirmados como maliciosos, e por isso frequentemente ignorados por soluções baseadas em reputação.
- Domínios lookalike: Endereços criados para imitar marcas populares, usando técnicas sofisticadas de homografia. Um "l" no lugar de um "i", por exemplo, pode ser imperceptível ao usuário e redirecioná-lo a um site de phishing.
- DGA/RDGA: Domínios gerados algoritmicamente por malware para comunicação com servidores C2. A geração automática de milhares de domínios dificulta o bloqueio por listas estáticas.
- Domínios emergentes: Domínios recém-registrados que podem ser usados em ataques zero-day, antes que os sistemas de reputação os conheçam.
- DNS over HTTPS (DoH): Resolvedores que permitem que consultas DNS sejam realizadas fora do controle do DNS corporativo, burlando políticas de segurança.
- Domínios de phishing: Configurados especificamente para coleta de credenciais ou distribuição de malware.
- Exfiltração de dados: Dados confidenciais fragmentados e enviados como consultas DNS aparentemente legítimas (o equivalente digital a esconder mensagens num envelope comum).
- Domínios C2 (Comando e Controle): Utilizados por malware para receber instruções e enviar dados roubados a servidores externos.
- Redes TDS (Traffic Distribution Systems): Redes para distribuição coordenada de conteúdo malicioso, direcionando vítimas a diferentes payloads conforme o perfil do alvo.
O que as soluções convencionais não detectam
Muitas organizações acreditam estar protegidas porque possuem firewall, antivírus e SIEM. O problema é que essas soluções frequentemente não inspecionam o tráfego DNS em profundidade, deixando lacunas críticas na postura de segurança.
As lacunas mais comuns incluem: registros DNS maliciosos além do tipo A (como NS, SOA e MX) que não são bloqueados; infiltração de dados via respostas DNS de domínios aparentemente legítimos; exfiltração que passa despercebida quando o padrão é levemente alterado; tráfego DoH que contorna completamente o DNS interno; e domínios lookalike usados em phishing sofisticado que não são monitorados.
Os números do laboratório independente Tolly confirmam o problema: a média de bloqueio de ameaças DNS pelas soluções convencionais do mercado foi de apenas 59% em ameaças locais. Em testes reais conduzidos no Brasil, o índice cai ainda mais: apenas 21% dos indicadores maliciosos foram bloqueados.
O cenário real: o que acontece nas empresas brasileiras
Em março de 2026, a Contacta conduziu um assessment de DNS em uma grande empresa brasileira que possuía solução de segurança ativa e acreditava estar protegida. Os resultados foram alarmantes.
Das 10 categorias de ameaça avaliadas, 9 receberam nota D, que indica ação imediata necessária. Os percentuais de bloqueio revelam a extensão do problema:
- Domínios maliciosos: 14% bloqueados
- Domínios de alto risco: 18% bloqueados
- Domínios lookalike: 28% bloqueados
- DGA/RDGA: 15% bloqueados
- Domínios emergentes: 48% bloqueados
- DNS encriptado (DoH): apenas 6% bloqueados
- Phishing: 59% bloqueados
- Exfiltração de dados: 0% bloqueados
- C2 (Comando e Controle): 33% bloqueados
- TDS (Tráfego): 24% bloqueados
O dado mais crítico: zero dos 18 domínios de exfiltração foram bloqueados. Isso significa que qualquer dado da organização (cartões de crédito, folha de pagamento, informações sensíveis protegidas pela LGPD) poderia ser retirado da rede via tunelamento DNS sem nenhum controle ou visibilidade.
O tempo total do assessment foi de 7 minutos e 42 segundos. Em menos de uma reunião, a empresa descobriu que sua percepção de segurança havia sido completamente frustrada.
O que uma solução de segurança DNS deve ter
Com base nos testes de laboratório e nos cenários reais analisados, identificamos seis requisitos fundamentais que qualquer solução efetiva de segurança DNS deve atender:
- Inspeção completa de registros DNS: não apenas os registros tipo A e AAAA, mas também NS, SOA, MX, CNAME e outros.
- Detecção por IA e Machine Learning: sistemas baseados apenas em reputação e listas estáticas não acompanham a velocidade das ameaças modernas.
- Integração com o ecossistema de segurança: compartilhamento de inteligência com firewalls, SIEMs, EDRs e plataformas de ITSM.
- Monitoramento de domínios lookalike: monitorar proativamente domínios que imitam a marca da organização para prevenir ataques de phishing direcionado.
- Visibilidade de endpoint: informações detalhadas sobre o dispositivo comprometido são essenciais para resposta a incidentes eficaz.
- Proteção contra DNS over HTTPS (DoH): detectar e bloquear tráfego DoH que tente contornar o DNS corporativo.
DNS não é mais um problema de infraestrutura, é um problema de segurança
O DNS está presente em cada dispositivo, cada comunicação, cada ação que acontece na sua rede. Ele é a porteira de entrada. E como alertou Sandro Tonholo, Territory Manager da Infoblox para o Brasil, durante o webinar da Contacta: não adianta ter um castelo fortificado se a via principal está aberta para o atacante explorar.
A boa notícia é que, justamente por estar presente em toda a rede, o DNS também pode ser transformado em uma linha de defesa extremamente eficiente. Ele é capaz de bloquear ameaças antes mesmo que elas avancem pelo ambiente, reduzir o tempo médio de resposta a incidentes e elevar o nível de maturidade de todo o ecossistema de segurança.
A Contacta, em parceria com a Infoblox, oferece consultoria especializada, workshops técnicos e assessments de DNS para empresas que queiram entender a real situação da sua proteção e agir antes que o ataque aconteça.
Quer saber como está a segurança do DNS na sua empresa? Entre em contato com nossos especialistas e realize um assessment rápido e sem burocracia!
