Suplantación de correo electrónico
La suplantación de correo electrónico es la falsificación de la dirección del remitente de un correo para que un mensaje parezca proceder de alguien que en realidad no lo envió. Como el protocolo SMTP clásico nunca verificó quién estaba autorizado a usar un dominio en la línea `From`, un atacante puede poner *tu* dominio en un correo que envía desde *su* servidor y, sin los registros DNS adecuados
La suplantación de correo electrónico (email spoofing) es la falsificación de la dirección del remitente de un correo para que un mensaje parezca proceder de alguien que en realidad no lo envió. Como el protocolo SMTP clásico nunca verificó quién estaba autorizado a usar un dominio en la línea From, un atacante puede poner tu dominio en un correo que envía desde su servidor y, sin los registros DNS adecuados, los servidores receptores no tienen forma fiable de detectarlo. La suplantación es el motor de la mayoría del phishing, del fraude del correo corporativo comprometido (BEC) y del fraude de facturas, y la defensa es el mismo trío de registros DNS sobre el que se construye este sitio: SPF, DKIM y DMARC.
Cómo funciona la suplantación de correo electrónico
Cada correo lleva en realidad dos identidades de remitente. Está el remitente del sobre (la dirección MAIL FROM usada durante la conversación SMTP) y el From de cabecera (la dirección amigable que muestra tu cliente de correo). Los atacantes explotan la brecha entre ambos:
- El atacante se conecta a un servidor de correo e inicia una sesión SMTP normal.
- En las cabeceras del mensaje simplemente escriben tu dominio en el campo
From; nada les impide teclearbilling@yourcompany.com. - El servidor receptor entrega el mensaje. A menos que tu dominio publique registros de autenticación, el destinatario ve un remitente de aspecto fiable y ninguna advertencia.
Nada se “hackea” en un ataque de suplantación: no se roba ninguna contraseña ni se vulnera ningún servidor. El atacante se aprovecha del hecho de que, por defecto, un dominio no declara qué servidores están autorizados a enviar en su nombre. Esa declaración es exactamente lo que proporcionan SPF, DKIM y DMARC.
Los principales tipos de suplantación de correo electrónico
La suplantación aparece en varias formas distintas, cada una con su propia señal y su propia solución:
- Suplantación de dominio — el atacante falsifica tu dominio exacto en la dirección
From. Esto es lo que SPF, DKIM y DMARC previenen directamente. - Suplantación del nombre visible — el nombre visible dice “Tu director general” mientras que la dirección real detrás es una cuenta de correo web gratuita. DMARC no puede bloquear esto por sí solo, porque el dominio remitente es genuinamente el del atacante.
- Dominios parecidos / dominios “primos” — los mensajes vienen de
yourcompany-support.comoyourcompanny.com, dominios que el atacante realmente posee y puede autenticar. Derrotarlos requiere monitorización y concienciación de los usuarios, no solo SPF. - Suplantación de eco / de cadena de respuestas — los atacantes reutilizan un hilo real enviado previamente para hacer que una respuesta falsificada parezca legítima.
Saber a qué tipo te enfrentas te indica si los registros de autenticación lo detendrán por completo o si además necesitas herramientas de protección y monitorización.
Cómo SPF, DKIM y DMARC detienen la suplantación
Los tres registros funcionan como una verificación por capas sobre cada mensaje entrante:
- SPF publica la lista de direcciones IP autorizadas a enviar correo para tu dominio. Un receptor comprueba si el servidor emisor está en esa lista. Crea y audita el tuyo con el Verificador de SPF.
- DKIM añade una firma criptográfica que prueba que el mensaje no fue alterado y que realmente procede de tu dominio.
- DMARC vincula SPF y DKIM a la dirección
Fromvisible (alineación) e indica a los receptores qué hacer cuando un mensaje falla:none,quarantineoreject.
Publicados juntos con una política SPF -all y una política DMARC p=reject, hacen prácticamente imposible que un atacante envíe correo con el dominio suplantado y que llegue a una bandeja de entrada. Este es el problema que resuelve AutoSPF: mantiene tu registro SPF aplanado y por debajo del límite de forma automática, para que la autenticación que detiene la suplantación se mantenga en buen estado a medida que cambia tu infraestructura de envío. Combínalo con DKIM y una política DMARC p=reject y la suplantación de dominio simplemente deja de funcionar.
¿Nuevo en los registros subyacentes? Empieza por cómo crear un registro SPF y la referencia de sintaxis del registro SPF, y asegúrate de que el tuyo se mantenga por debajo del límite de 10 búsquedas.
Preguntas frecuentes
¿Qué es la suplantación de correo electrónico?
La suplantación de correo electrónico consiste en falsificar la dirección del remitente de un correo para que parezca proceder de una persona o dominio que en realidad no lo envió. Se basa en el hecho de que el SMTP básico no verifica la dirección From, y es la técnica principal detrás del phishing y del correo corporativo comprometido. SPF, DKIM y DMARC son los registros DNS que permiten a los receptores detectarla y rechazarla.
¿SPF detiene la suplantación de correo electrónico?
SPF impide que los atacantes falsifiquen tu dominio exacto al indicar a los receptores qué servidores pueden enviar por él, pero solo cuando se combina con DKIM y una política DMARC configurada en quarantine o reject, y solo mientras el registro SPF se mantenga válido bajo el límite de 10 búsquedas. SPF por sí solo, o un registro SPF roto, deja brechas que los suplantadores explotan.
¿Se puede prevenir por completo la suplantación de correo electrónico?
La suplantación de dominio (falsificar tu dominio exacto) puede eliminarse eficazmente con SPF, DKIM y una política DMARC p=reject. La suplantación del nombre visible y la de dominios parecidos no pueden bloquearse solo con tus registros DNS (el atacante no usa tu dominio), así que estas también necesitan concienciación de los destinatarios y monitorización.
¿Es la suplantación de correo electrónico lo mismo que el phishing?
No. La suplantación es una técnica — falsificar la dirección del remitente — mientras que el phishing es el objetivo: engañar a alguien para que revele información o dinero. La mayoría del phishing usa suplantación, pero no todo. Consulta suplantación de correo electrónico vs phishing para la distinción completa.
¿Cómo sé si están suplantando mi dominio?
Las señales incluyen mensajes de rebote de correos que nunca enviaste (backscatter), destinatarios que informan de correos sospechosos desde tu dominio y, de forma más fiable, informes agregados de DMARC que muestran correo que falla la autenticación desde IPs que no reconoces. Publicar DMARC (incluso en p=none) activa esa generación de informes.