A Microsoft publicou os resultados de sua mais recente comparação trimestral de segurança de e-mail, afirmando que o Microsoft Defender deixou passar o menor número de ameaças de alto risco entre as soluções avaliadas durante o período de maio a julho de 2026. Segundo os números da empresa, foram 221 ameaças não detectadas para cada 1.000 usuários protegidos, ou seja, 55,4% menos do que o concorrente mais próximo entre os provedores de gateways de segurança de e-mail (SEG).
A comparação baseia-se na medição das ameaças que não foram detectadas, em vez de contabilizar o total de mensagens maliciosas interceptadas. A Microsoft justifica esse método afirmando que a quantidade de mensagens capturadas pode ser influenciada por diferenças no volume de ameaças e no nível de exposição dos ambientes de cada provedor. Já a padronização da medição para cada 1.000 usuários tem como objetivo oferecer uma comparação mais consistente entre as soluções, segundo a empresa.
O que os resultados medem de fato?
O material não se limita à etapa de impedir a mensagem antes que ela chegue à caixa de entrada. A comparação da Microsoft também inclui soluções integradas de segurança de e-mail na nuvem (ICES), que combinam filtragem antes da entrega, detecção e processamento após a entrega. A empresa afirma que o Defender detectou, em média, 92% das mensagens maliciosas depois que foram entregues durante o período de medição.
Os resultados do ICES indicam que o maior valor adicional da proteção em várias camadas apareceu na filtragem de mensagens promocionais e mensagens enviadas em grande escala. A taxa de captura de mensagens maliciosas dos provedores de ICES também subiu para 0,30%, em comparação com 0,13% no trimestre anterior, enquanto a taxa de captura de mensagens indesejadas aumentou para 0,52%, contra 0,28%.
A Microsoft explica que o processamento após a entrega não é uma ação executada apenas uma vez depois que a mensagem chega ao usuário. Segundo a descrição da empresa, o Defender reavalia as mensagens presentes nas caixas de entrada quando surgem novas informações de inteligência, indicadores de risco ou informações relacionadas a uma campanha de ataque, tratando então as mensagens cujo risco só fica evidente posteriormente.
Por que esta notícia é importante?
A importância dos números está em transferir a avaliação da segurança de e-mail da pergunta “quantas mensagens foram bloqueadas?” para uma pergunta mais precisa: “quantas ameaças de alto risco chegaram ao usuário ou permaneceram sem ser detectadas?”. Ainda assim, a comparação está vinculada ao escopo das soluções escolhidas pela Microsoft e à metodologia de medição apresentada no material. Portanto, os números, por si só, não são suficientes para avaliar a experiência de cada organização ou de cada tipo de mensagem.
A Microsoft afirma que as ameaças não detectadas aumentaram ao longo de vários períodos de medição, inclusive no caso do Defender. A empresa considera que isso é compatível com o uso de inteligência artificial pelos invasores para coletar informações públicas, personalizar mensagens e formular tentativas de falsificação de identidade mais convincentes. Essa observação não significa que a inteligência artificial explique todos os casos de falha, mas destaca a necessidade de uma defesa que se adapte a novos sinais, em vez de depender apenas de regras fixas.
Como os resultados se refletiram no Defender?
A Microsoft relaciona os resultados da medição a alguns dos investimentos recentes no Defender. A empresa adicionou a pasta Promotions ao Outlook com base na observação de que as soluções de ICES obtêm um benefício significativo na filtragem de mensagens promocionais e mensagens em massa, mantendo as mensagens de marketing legítimas disponíveis para o usuário, em vez de misturá-las às mensagens maliciosas ou indesejadas.
A empresa também redesenhou sua pilha de modelos de aprendizado de máquina e inteligência artificial, introduzindo sinais de processamento de linguagem natural, incluindo o assunto da mensagem, além de outros sinais de detecção. A Microsoft afirma que uma medição realizada por sua equipe de pesquisa ao longo de quatro semanas consecutivas mostrou uma redução de cerca de dois terços nos casos de falha na detecção de ameaças e uma redução de aproximadamente um quinto nos falsos positivos entre os clientes do Defender. Essas taxas são apresentadas como resultado de um monitoramento realizado pela Microsoft, e o material não forneceu detalhes independentes sobre o conjunto de testes ou o desenho da comparação.
Proteção dos usuários e dos sistemas que leem e-mails
A mais recente adição vai além do usuário humano: a Microsoft afirma ter desenvolvido uma proteção contra prompt injection para detectar e isolar instruções maliciosas direcionadas a sistemas de inteligência artificial antes da entrega. A empresa relaciona essa proteção à disseminação do Copilot, de agentes e de outros sistemas que podem ler o conteúdo da caixa de entrada e tomar medidas com base nele.
Na prática, isso amplia o escopo da segurança de e-mail: além de impedir phishing ou malware, passa a incluir a análise de instruções que podem explorar um sistema inteligente que lida com mensagens. No entanto, o material não fornece detalhes técnicos sobre o mecanismo de isolamento nem sobre as taxas de detecção de ataques de prompt injection, deixando questões em aberto sobre como essa proteção é avaliada fora dos testes da Microsoft.
Conclusão editorial
A comparação oferece um indicador importante de que a segurança de e-mail deixou de ser apenas uma camada de prevenção antes da entrega. Os resultados apresentados pela Microsoft colocam o processamento contínuo após a chegada da mensagem, a filtragem em várias camadas e o aprimoramento dos modelos entre os elementos essenciais da proteção. Por outro lado, os números devem ser lidos como resultados de um benchmark publicado pela própria empresa, e não como um atestado independente e abrangente do desempenho do Defender em todos os ambientes. O valor mais claro para as organizações está na metodologia: acompanhar as mensagens após a entrega, medir as ameaças não detectadas por usuário e revisar a capacidade do sistema de se adaptar a campanhas de falsificação de identidade que mudam rapidamente.