Bloqueando o auto-forward silencioso no Exchange Online: as 3 camadas que você precisa configurar

Toda semana aparece um caso parecido: a conta de um usuário é comprometida, o atacante não rouba nada "na hora" — só cria uma regra de inbox para encaminhar silenciosamente uma cópia de cada e-mail recebido para uma conta externa. Sem alerta visual, sem pop-up, sem nada que o usuário note no dia a dia. Semanas depois, dados sigilosos (faturas, propostas, dados de clientes) já vazaram.

O Exchange Online tem, hoje, três camadas independentes que controlam encaminhamento automático para fora da organização, e a maioria dos ambientes configura só uma (ou nenhuma). Neste artigo eu mostro as três, como elas se relacionam entre si, e o passo a passo em PowerShell para travar tudo.

As três camadas de encaminhamento automático

  1. Política de spam de saída (Outbound Spam Filter Policy) — controla se o Exchange Online permite, no nível do tenant, encaminhamento automático detectado como tal (regras de inbox, SMTP forwarding configurado no mailbox).
  2. Remote Domain — controla, por domínio remoto (o padrão Default cobre "qualquer domínio externo"), se mensagens encaminhadas automaticamente podem saída para aquele domínio.
  3. Mail flow rules (transport rules) — a camada mais granular: pode bloquear, por exemplo, só mensagens que saem de dentro da organização (FromScope InOrganization) para fora (SentToScope NotInOrganization) quando o cabeçalho indica reenvio automático.

Essas camadas não são excludentes — se a política de spam de saída estiver em "Off" (bloqueado), ela já impede o encaminhamento automático antes mesmo das outras duas serem avaliadas.[1] Só que, se você só travar a Remote Domain e deixar a política de spam de saída em "Automatic - System-controlled", o comportamento real pode variar de tenant para tenant, porque esse modo "automático" foi migrado ao longo do tempo e o resultado depende do histórico da organização.[2] Por isso a Microsoft recomenda explicitamente trocar Automatic por On ou Off definitivo, nunca deixar no modo ambíguo.[2]

Passo 1 — Conferir o estado atual

Antes de travar qualquer coisa, veja o que já está configurado. Conecte ao Exchange Online PowerShell:

Connect-ExchangeOnline

Política de spam de saída:

Get-HostedOutboundSpamFilterPolicy | Select-Object Name, AutoForwardingMode

Remote Domain (o Default cobre todos os domínios externos não listados explicitamente):

Get-RemoteDomain | Select-Object DomainName, AutoForwardEnabled

Regras de transporte existentes que mexem com encaminhamento:

Get-TransportRule | Where-Object { $_.Description -match "forward" -or $_.Name -match "forward" }

Passo 2 — Travar a política de spam de saída

Esta é a camada mais importante, porque é a que a Microsoft recomenda como controle principal.[1] Para desligar o encaminhamento automático na política padrão:

Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

Se existirem políticas customizadas (por exemplo, para departamentos específicos), aplique em todas de uma vez:

Get-HostedOutboundSpamFilterPolicy | Set-HostedOutboundSpamFilterPolicy -AutoForwardingMode Off

Quando esse bloqueio entra em ação, o remetente recebe um NDR (non-delivery report) com o código 5.7.520 Access denied, Your organization does not allow external forwarding[2] — é um bom sinal pra você monitorar via Message Trace se o bloqueio está funcionando como esperado.

Se precisar liberar encaminhamento só para alguns usuários (ex: um gestor que precisa encaminhar e-mails para o celular pessoal com aprovação formal), crie uma política dedicada:

New-HostedOutboundSpamFilterPolicy -Name "Forwarding Liberado - Excecoes" -AutoForwardingMode On New-HostedOutboundSpamFilterRule -Name "Regra Forwarding Liberado" ` -HostedOutboundSpamFilterPolicy "Forwarding Liberado - Excecoes" ` -From @("gestor@suaempresa.com.br")

Passo 3 — Travar a Remote Domain

Essa camada é um "cinto de segurança" adicional. Ela impede encaminhamento automático configurado por métodos que a política de spam de saída não necessariamente cobre (por exemplo, regras de inbox configuradas pelo próprio usuário no Outlook/OWA):[3]

Set-RemoteDomain Default -AutoForwardEnabled $false

Importante: se a Remote Domain estiver com AutoForwardEnabled $false, ela bloqueia antes da política de spam de saída ser avaliada — então se você travar só a Remote Domain e deixar a política de spam de saída liberada, pode parecer que está tudo funcionando quando na verdade é essa camada que está segurando tudo.[3] Trave as duas, não confie em uma só.

Passo 4 — Mail flow rule como reforço para encaminhamento manual

As duas camadas acima cobrem encaminhamento automático (regras de inbox, SMTP forwarding). Elas não impedem um usuário de simplesmente dar "Encaminhar" manualmente num e-mail. Se a política da empresa exige bloquear qualquer saída de conteúdo sensível para domínios externos — não só o automático — complemente com uma regra de transporte:

New-TransportRule -Name "Bloquear Encaminhamento Externo" ` -FromScope InOrganization ` -SentToScope NotInOrganization ` -Priority 0 ` -RejectMessageReasonText "Encaminhamento automático para destinatários externos não é permitido pela política de segurança."

Ajuste o FromScope/SentToScope e adicione exceções (ExceptIfFrom, ExceptIfSentTo) para parceiros ou domínios de confiança antes de colocar em produção — regras de transporte sem exceção bem pensada derrubam e-mail legítimo rápido.

Passo 5 — Monitorar o que já estava acontecendo antes do bloqueio

Antes de travar tudo, vale rodar o relatório de mensagens auto-encaminhadas no novo Exchange Admin Center (Mail flow → Reports → Auto-forwarded messages), que mostra, pelos últimos 7 a 90 dias, quem está encaminhando, para qual domínio externo, e se foi via regra de inbox, mail flow rule ou SMTP forwarding.[4] Esse relatório é o ponto de partida ideal para descobrir forwarding "legado" (configurado há anos por algum usuário) antes de travar e gerar chamados de suporte em massa.

Via PowerShell, cada bloqueio feito por regra de transporte aparece identificável:

Get-TransportRule -Identity <RuleIdOuNome>

Checklist de implantação

  • [ ] Get-HostedOutboundSpamFilterPolicy revisado e AutoForwardingMode definido como On ou Off explicitamente (nunca Automatic)
  • [ ] Get-RemoteDomain revisado, AutoForwardEnabled alinhado com a decisão acima
  • [ ] Exceções documentadas para quem realmente precisa de forwarding (política formal, não só "pediu")
  • [ ] Relatório de auto-forwarded messages revisado antes do corte, para não travar algo que já era aprovado
  • [ ] Regra de transporte de reforço testada em modo "Test mode" antes de aplicar em produção

Conclusão

Encaminhamento automático para fora da organização é um dos vetores mais usados pós-comprometimento de conta porque é silencioso e persistente — e, ironicamente, é fácil de bloquear quando você entende que não é uma configuração única, são três controles em camadas (outbound spam policy, remote domain, mail flow rules) que precisam estar alinhados. Comece revisando o que já existe com o relatório de auto-forwarded messages, trave as duas primeiras camadas de forma explícita (nunca "Automatic"), e use regra de transporte só como reforço para o caso de encaminhamento manual.

Este é um dos itens padrão de qualquer checklist de hardening de M365 (inclusive consta no CIS Microsoft 365 Foundations Benchmark)[5] — se você ainda não revisou isso no seu tenant, vale a prioridade.

📚 Recursos recomendados

Sources

[1] https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-external-email-forwarding — Control external email forwarding - MS Defender
[2] https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-configure — Configure outbound spam policies - MS Defender
[3] https://learn.microsoft.com/pl-pl/exchange/mail-flow-best-practices/remote-domains/remote-domains — Remote domains in Exchange Online
[4] https://tenable.com/audits/items/CIS_Microsoft_365_Foundations_v7.0.0_L1_E3.audit:f879c63b15e0421bc4485bf09b8c343f — CIS Microsoft 365 Foundations - mail forwarding
[5] https://learn.microsoft.com/pl-pl/exchange/monitoring/mail-flow-reports/mfr-auto-forwarded-messages-report — Auto forwarded messages report - EAC