Correo 2 min de lectura

El correo electrónico se diseñó en los años ochenta sin ninguna forma de demostrar quién envía un mensaje. La línea "From" (De) no es más que un texto que escribe el remitente, así que cualquiera puede enviar un correo que parezca venir de tu banco, de tu jefe o de ti. Esto es la suplantación de correo electrónico (email spoofing), y es el punto de partida de la mayoría de los ataques de phishing y de compromiso del correo empresarial (BEC).

Cómo funciona la suplantación

  • Suplantación exacta del dominio: la dirección From usa el dominio real, por ejemplo security@yourbank.com. DMARC la detiene si el propietario del dominio lo ha configurado.
  • Suplantación del nombre visible: el nombre dice "Seguridad de Tu Banco", pero la dirección es random123@freemail.example. Las aplicaciones de correo que solo muestran el nombre hacen que funcione.
  • Dominios parecidos: yourbank-support.com, paypa1.com o dominios con letras de otros alfabetos que se parecen a las originales.
  • Trucos con Reply-To: el From parece correcto, pero las respuestas van a la dirección del atacante.

Cómo comprobar si un correo está suplantado

  1. Mira la dirección completa, no solo el nombre. Toca el remitente o pasa el cursor por encima.
  2. Revisa los resultados de autenticación. Abre las cabeceras y pégalas en nuestro analizador de cabeceras de correo. Un fail en SPF, DKIM o DMARC es una señal de alarma clara.
  3. Compara From, Return-Path y Reply-To. Que tengan dominios distintos es sospechoso.
  4. Comprueba el origen. El analizador muestra la IP del servidor que envió el correo; búscala con la consulta de IP. Un correo de un "banco" enviado desde una conexión doméstica en el extranjero no es auténtico.
  5. Desconfía de la presión: peticiones de pago urgentes, restablecimientos de contraseña que no has pedido, cambios de datos bancarios.

Lee cómo leer las cabeceras de un correo para ver una explicación completa paso a paso.

Cómo proteger tu propio dominio

Publica tres registros DNS para que los receptores puedan rechazar el correo que se envíe suplantando tu nombre:

  1. SPF indica cuáles son tus servidores de envío.
  2. DKIM firma tus mensajes.
  3. DMARC indica a los receptores que pongan en cuarentena o rechacen el correo que no supere las comprobaciones, y te envía informes.

Consulta SPF, DKIM y DMARC explicados y revisa tus registros con la consulta DNS.

Qué hacer con un correo suplantado

  • No hagas clic en los enlaces, no abras los adjuntos y no respondas.
  • Denúncialo con el botón Denunciar phishing (Report phishing) de tu aplicación de correo.
  • Si dice venir de una empresa de la que eres cliente, ponte en contacto con ella a través de su sitio web o su aplicación oficiales.
  • Si hiciste clic o introdujiste datos, cambia la contraseña de inmediato y activa la autenticación en dos pasos.

Preguntas frecuentes

¿Puede alguien enviar un correo desde mi dirección?

Puede poner tu dirección en la línea From. Si tienes DMARC configurado para rechazar, la mayoría de los grandes proveedores de correo lo rechazarán.

¿Por qué me ha llegado una devolución de un correo que nunca envié?

Unos spammers usaron tu dirección como remitente y el rechazo te llegó a ti ("backscatter"). DMARC lo reduce.

¿Es ilegal la suplantación?

Usarla para cometer fraudes o phishing es ilegal en la mayoría de los países.