¿Qué es el spoofing de correo? Cómo detectar un email que suplanta a una empresa, según ESET

Persona con capucha frente a un computador, representación de un ciberdelincuente que falsifica correos con spoofing

El spoofing de correo consiste en falsificar el remitente de un email para que parezca enviado por una persona o empresa de confianza. ESET Latinoamérica advierte que sigue siendo una de las técnicas más usadas en campañas de phishing, fraude financiero, robo de credenciales y distribución de malware.

Cuando un mensaje parece venir de una institución conocida, aumentan las probabilidades de que se abra y se considere legítimo. Los correos falsificados pueden traer enlaces a sitios falsos, archivos adjuntos maliciosos o solicitudes para entregar información confidencial. Las empresas cuyo dominio se usa de forma indebida también sufren daños de reputación y pérdida de confianza.

Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas.

Así lo explica Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Cómo funciona el spoofing

Todo correo tiene dos remitentes. El remitente del sobre, conocido como MAIL FROM, lo usan los servidores para enrutar el mensaje y el destinatario nunca lo ve. El encabezado From, en cambio, es la dirección que aparece en la bandeja de entrada, y el servidor emisor no necesita demostrar que tiene derecho a usarla. Por eso un atacante puede poner como remitente una dirección como [email protected] y enviar el correo desde un servidor sin relación con esa empresa, sin vulnerar ninguna cuenta ni robar contraseñas.

Cómo revisar si un correo es falso

Un mensaje falsificado puede verse legítimo, así que hay que revisar sus encabezados. En Gmail se abre el correo, se hace clic en el menú de tres puntos y se elige Mostrar original. En Outlook se entra en Archivo, Propiedades y Encabezados de Internet. Ahí se busca la línea Authentication-Results. Si SPF, DKIM o DMARC muestran el resultado fail, el servidor de envío no estaba autorizado por el dominio del remitente.

Un Return-Path distinto de la dirección visible es otra pista frecuente, aunque algunos servicios legítimos de envío masivo también la generan. Los encabezados Received que apuntan a servidores sin relación con el supuesto remitente son una señal de alerta fuerte. Ante la duda, lo mejor es no hacer clic y aplicar lo mismo que se recomienda tras una brecha de datos informada por una empresa.

Maridaje profesional de cerveza y marihuana. La ciencia sensorial para el sommelier moderno

Comprar en Amazon

SPF, DKIM y DMARC, la defensa de las empresas

Existen mecanismos que autentican los mensajes y reducen la falsificación. SPF y DKIM aportan señales de autenticación, mientras que DMARC indica a los servidores qué hacer cuando esas señales fallan. BIMI permite además mostrar el logotipo de la organización junto a sus correos validados. Micucci recomienda configurar DMARC primero en modo de monitoreo, porque sus informes permiten confirmar si alguien está usando el dominio de la empresa.

Estos mecanismos protegen el dominio propio, pero no frenan los correos falsos que llegan desde dominios ajenos o parecidos a los legítimos. Para eso se necesita un filtrado que valide SPF, DKIM y DMARC al recibir los mensajes y detecte dominios similares. En el plano personal, sigue siendo clave cuidar las credenciales, como se explica en qué hacer con las contraseñas ante una filtración.

Preguntas frecuentes

1. ¿Qué es el spoofing de correo electrónico?

Es la falsificación del remitente de un email para que parezca enviado por una persona o empresa de confianza.

2. ¿Cómo sé si un correo fue falsificado?

Revisando sus encabezados. Si en Authentication-Results aparece fail en SPF, DKIM o DMARC, el servidor no estaba autorizado por el dominio del remitente.