El spoofing de email consiste en falsificar la información del remitente de un correo electrónico para que un mensaje parezca provenir de una persona u organización de confianza cuando en realidad no es así. Esto es posible porque el protocolo original del correo electrónico, SMTP, fue diseñado sin verificación del remitente. Cualquier servidor puede afirmar que envía correos en nombre de cualquier dominio, a menos que ese dominio publique registros de autenticación, como SPF, DKIM y DMARC, que permitan a los servidores receptores verificar esa afirmación.
El spoofing de dominios de email sigue siendo una de las técnicas más utilizadas por los ciberdelincuentes para hacerse pasar por empresas y organizaciones legítimas. Al falsificar la identidad de una institución confiable, aumentan significativamente las probabilidades de que sus mensajes sean abiertos, leídos y considerados legítimos por las víctimas.
Estos ataques se utilizan comúnmente en campañas de phishing, fraude financiero, robo de credenciales y distribución de malware. Los mensajes pueden contener enlaces a sitios web falsos, archivos adjuntos maliciosos o solicitudes engañosas que llevan a los usuarios a compartir información confidencial o realizar acciones que comprometen la seguridad de personas y organizaciones.
Con el avance de la inteligencia artificial, las campañas de phishing se han vuelto aún más sofisticadas. Hoy en día, los delincuentes pueden crear mensajes altamente personalizados que replican el estilo de comunicación, la identidad visual e incluso los patrones de escritura de empresas legítimas, lo que hace que el fraude sea cada vez más difícil de identificar.
El impacto del spoofing va más allá de las víctimas directas. Las organizaciones cuyos dominios son utilizados de forma indebida pueden sufrir daños reputacionales, pérdida de confianza por parte de clientes y socios, y un aumento de los riesgos operativos. En algunos casos, la falta de medidas de protección adecuadas puede incluso generar inquietudes relacionadas con el cumplimiento normativo y la gobernanza de la seguridad de la información.
Cómo funciona el spoofing de email
Cada correo electrónico contiene dos direcciones de remitente diferentes, y esa diferencia es precisamente la que explota el spoofing.
- El remitente del sobre (envelope sender), también llamado MAIL FROM o Return-Path, es utilizado por los servidores de correo para enrutar el mensaje y gestionar los rebotes. Los destinatarios normalmente nunca lo ven.
- El encabezado From (header From) es la dirección que se muestra en la bandeja de entrada del destinatario. Es simplemente una línea de texto dentro del mensaje y el servidor de envío no está obligado a demostrar que tiene derecho a utilizarla.
Por lo tanto, un atacante puede configurar el encabezado From como billing@yourcompany.com mientras envía el mensaje desde un servidor completamente ajeno. No es necesario vulnerar ningún sistema: no se compromete ningún buzón ni se roba ninguna contraseña. El mensaje simplemente se construye con información falsa del remitente y se entrega a un servidor de correo que lo acepta.
Por esta razón, las organizaciones suelen descubrir el spoofing de manera indirecta: mediante mensajes de rebote de correos que nunca enviaron, quejas de clientes sobre facturas fraudulentas o una caída repentina en la entregabilidad del correo causada por el deterioro de la reputación de envío de su dominio.
Cómo saber si un email ha sido falsificado
Un mensaje falsificado suele parecer legítimo en la bandeja de entrada, por lo que la verificación debe realizarse en los encabezados del mensaje. En Gmail, abre el mensaje y selecciona "Mostrar original"; en Outlook, utiliza Archivo > Propiedades > Encabezados de Internet. Busca la línea Authentication-Results.
- Si SPF, DKIM o DMARC muestran fail, significa que el servidor de envío no estaba autorizado por el dominio que aparece en la dirección From.
- Un Return-Path que no coincide con la dirección From visible es un indicador común, aunque algunos servicios legítimos de envío masivo también generan esta discrepancia.
- Los encabezados Received que apuntan a una infraestructura no relacionada con el remitente declarado constituyen una señal clara.
Si tu propio dominio está siendo suplantado, los informes agregados de DMARC son la forma más rápida de confirmarlo e identificar qué servidores están enviando correos en tu nombre. Configurar DMARC en modo de monitoreo, como se describe más adelante, es el primer paso práctico.
Cómo proteger tu dominio de email contra el spoofing: SPF, DKIM, DMARC y BIMI
Aunque el spoofing es posible debido a las limitaciones de los protocolos originales de correo electrónico, existen mecanismos ampliamente adoptados que ayudan a autenticar los mensajes y reducen significativamente la posibilidad de falsificación. Estos incluyen SPF, DKIM, DMARC y BIMI. Los tres registros principales funcionan como una cadena: SPF y DKIM aportan señales de autenticación, y DMARC indica a los servidores receptores qué hacer cuando esas señales fallan.
Registros SPF
SPF (Sender Policy Framework) es uno de los mecanismos fundamentales para proteger los dominios de email. Se trata de un registro publicado en DNS que especifica qué servidores están autorizados para enviar mensajes en nombre de un dominio determinado.
Cuando se recibe un correo electrónico, el servidor receptor consulta el registro SPF del dominio remitente para verificar si el servidor que envió el mensaje está autorizado. Si la validación es exitosa, el mensaje puede continuar con pasos adicionales de análisis. De lo contrario, puede ser rechazado, puesto en cuarentena o marcado como sospechoso, según la política configurada.
A pesar de su importancia, SPF por sí solo no es suficiente para prevenir todas las formas de spoofing. Por ello, debe utilizarse junto con otras tecnologías de autenticación.
SPF también tiene una limitación específica: valida el remitente del sobre, no la dirección From visible para el destinatario. Un mensaje puede aprobar SPF y aun así mostrar una dirección From falsificada. Corregir esa diferencia es función de la alineación de DMARC.
Los mecanismos principales utilizados en un registro SPF son:
- ip4: autoriza servidores mediante direcciones IPv4.
- ip6: autoriza servidores mediante direcciones IPv6.
- a: autoriza las direcciones IP asociadas al registro A del dominio.
- mx: autoriza los servidores definidos en los registros MX del dominio.
- include: permite autorizar servicios externos de envío de correo.
- all: define la política que se aplicará a servidores no autorizados.
Ejemplos:
v=spf1 ip4:203.0.113.10 ip4:198.51.100.20 -all
Autoriza dos servidores de envío.
v=spf1 include:spf.protection.outlook.com a:mail.example.com -all
Autoriza los servidores de envío de Microsoft 365 y el servidor cuya dirección IP está asociada al registro A de mail.example.com.
v=spf1 mx ~all
Autoriza los servidores definidos en los registros MX del dominio. Los mensajes enviados por otros servidores reciben una indicación de fallo suave (~all), lo que permite que el servidor receptor decida cómo gestionarlos.
Es importante tener en cuenta que un registro SPF mal configurado puede provocar fallos en la entrega de correos legítimos. Antes de publicar o modificar un registro SPF, las organizaciones deben validar la configuración y probar su impacto en los flujos de entrega de correo.
Dos modos de falla explican la mayoría de los problemas de SPF en la práctica. En primer lugar, un registro SPF puede generar un máximo de diez consultas DNS. Cada instrucción include: para un servicio de terceros consume al menos una, y las organizaciones que utilizan varias plataformas de marketing, soporte y CRM suelen superar ese límite, lo que invalida todo el registro. En segundo lugar, SPF deja de funcionar cuando el correo es reenviado, porque el servidor que realiza el reenvío no figura como autorizado. Por estas razones, SPF debe considerarse una señal más dentro de una estrategia de protección más amplia y no una solución independiente.
DKIM (DomainKeys Identified Mail)
DKIM (DomainKeys Identified Mail) es otro mecanismo de autenticación de correo electrónico que utiliza criptografía asimétrica para verificar la autenticidad e integridad de los mensajes enviados. Funciona como una capa adicional de autenticación de correo electrónico, complementando SPF y reforzando la protección contra el spoofing y otros ataques relacionados con la falsificación de identidad.
Este mecanismo no solo ayuda a prevenir el uso no autorizado del dominio de envío, sino que también fortalece la confianza en el remitente entre los servidores receptores. Los correos electrónicos provenientes de dominios con DKIM correctamente configurado tienen mayores probabilidades de superar los controles de autenticación y pueden contribuir a mejorar la reputación del dominio ante los proveedores de correo electrónico.
La configuración de DKIM no es compleja, pero implica varios pasos técnicos. Las organizaciones deben seguir las directrices proporcionadas por sus proveedores de correo electrónico, como Google Workspace o Microsoft 365, que incluyen la generación de claves, la publicación de registros DNS y la activación de la firma de mensajes.
La clave pública se publica en un subdominio específico para cada selector, por lo que un dominio puede utilizar varias claves en paralelo, una para cada plataforma de envío:
selector1._domainkey.example.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."
Utiliza una longitud de clave de al menos 2048 bits y rota las claves periódicamente. A diferencia de SPF, DKIM sobrevive al reenvío de mensajes, ya que la firma viaja junto con el correo.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
Como complemento a estas dos tecnologías, se desarrolló DMARC (Domain-based Message Authentication, Reporting and Conformance). Este protocolo utiliza los resultados de validación de SPF y DKIM, permitiendo que los propietarios de dominios definan políticas para gestionar los correos electrónicos que no cumplen los requisitos de autenticación.
De acuerdo con la política DMARC publicada por el propietario del dominio, el servidor receptor puede aceptar, rechazar o poner en cuarentena (por ejemplo, enviar a spam) un correo electrónico que no cumpla los requisitos establecidos. Además, el protocolo permite enviar informes periódicos al administrador del dominio, proporcionando visibilidad sobre los fallos de autenticación y los posibles intentos de spoofing. Esta información ayuda a las organizaciones a monitorear el uso de sus dominios y ajustar las políticas de seguridad según sea necesario.
DMARC añade el elemento que SPF y DKIM no proporcionan por sí solos: la alineación (alignment). Exige que el dominio validado mediante SPF o DKIM coincida con el dominio visible en la dirección From, lo que realmente evita que un atacante muestre tu marca en la bandeja de entrada del destinatario.
Un registro DMARC se publica como un registro TXT en _dmarc.example.com:
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; pct=100; adkim=s; aspf=s
Etiquetas clave:
- p=: política aplicada a los mensajes que fallan la autenticación: none, quarantine o reject.
- rua=: dirección que recibe los informes agregados.
- pct=: porcentaje de mensajes fallidos al que se aplica la política, utilizado para una implementación gradual.
- sp=: política para subdominios, que los atacantes suelen tener como objetivo cuando el dominio principal está protegido.
- adkim= / aspf=: nivel de exigencia de alineación, relajada (r) por defecto o estricta (s).
Implementar DMARC en una sola etapa es la causa más común de pérdida accidental de correos legítimos. La secuencia estándar es:
- Publicar p=none con una dirección de reporte y no cambiar nada más. La entrega de correo no se ve afectada.
- Analizar los informes agregados durante cuatro a ocho semanas para elaborar un inventario completo de todos los servicios que envían correos en nombre de la organización. Las plataformas de marketing, sistemas de facturación, herramientas de RR. HH. y mesas de ayuda suelen omitirse.
- Autenticar todos los remitentes legítimos mediante SPF y DKIM, y corregir los fallos de alineación.
- Pasar a p=quarantine, comenzando con un valor bajo de pct= y aumentándolo gradualmente mientras se supervisan los informes.
- Pasar a p=reject, la única política que realmente impide que los correos falsificados lleguen a los destinatarios. Un dominio que permanece indefinidamente en p=none está monitoreado, pero no protegido.
La autenticación de correo electrónico ya es un requisito de entregabilidad, no solo una medida de seguridad
Desde 2024, los principales proveedores de correo electrónico han convertido la autenticación en una condición para la entrega de mensajes y no simplemente en una recomendación. Google y Yahoo introdujeron requisitos para remitentes masivos, es decir, aquellos que envían aproximadamente 5.000 mensajes diarios a sus usuarios, que incluyen autenticación SPF y DKIM, una política DMARC publicada, cancelación de suscripción con un clic para correos de marketing y tasas de quejas por spam por debajo de determinados umbrales. Posteriormente, Microsoft anunció requisitos similares para remitentes de alto volumen hacia dominios Outlook.com.
La consecuencia práctica es que las organizaciones que no cuentan con estos registros enfrentan ahora dos problemas en lugar de uno: su dominio queda disponible para la suplantación y sus correos legítimos de campañas, facturación y notificaciones tienen cada vez más probabilidades de ser filtrados o rechazados. Confirma los requisitos vigentes en la documentación de cada proveedor antes de planificar una implementación, ya que estos continúan evolucionando.
BIMI
Hasta ahora, todas las políticas analizadas en este artículo funcionan principalmente detrás de escena, sin interacción directa con el usuario que recibe el correo electrónico. Aunque estas tecnologías son esenciales para validar la autenticidad de los mensajes, también es importante ofrecer a los destinatarios una forma visual de reconocer que una comunicación realmente pertenece a la organización indicada.
Aquí es donde entra en juego BIMI (Brand Indicators for Message Identification). BIMI es un estándar de autenticación e identificación visual que permite a las organizaciones mostrar sus logotipos junto a los correos enviados desde sus dominios. El logotipo puede aparecer directamente en la bandeja de entrada del destinatario, por ejemplo junto al nombre del remitente, proporcionando reconocimiento visual inmediato de la marca y reforzando la confianza en las comunicaciones por correo electrónico.
La implementación de BIMI requiere varios pasos comunes a la mayoría de los proveedores de correo electrónico. En primer lugar, las organizaciones deben preparar un logotipo compatible, normalmente en formato SVG y con requisitos específicos de seguridad y estandarización, asegurando que la imagen esté correctamente asociada al dominio de envío.
Además, DMARC debe estar configurado con una política de aplicación (p=quarantine o p=reject), lo que exige que SPF y DKIM estén correctamente implementados y alineados. Dependiendo del proveedor de correo electrónico y del nivel de validación requerido, también puede ser necesario un VMC (Verified Mark Certificate) u otro certificado aceptado por el ecosistema BIMI. Este certificado debe ser emitido por una autoridad de certificación reconocida, como DigiCert, para demostrar la propiedad y autenticidad del logotipo utilizado.
BIMI es el último paso, no el primero. Como depende de que DMARC ya esté en modo de aplicación, solo vale la pena implementarlo una vez que la cadena SPF, DKIM y DMARC esté completa y estable.
Cómo proteger a tu organización de los correos falsificados que llegan a las bandejas de entrada
SPF, DKIM, DMARC y BIMI protegen tu dominio para que no sea utilizado contra terceros. Sin embargo, no hacen nada frente a los mensajes falsificados que llegan a las bandejas de entrada de tus empleados desde dominios que no controlas, incluidos dominios de socios y proveedores con autenticación débil o inexistente, así como dominios similares registrados específicamente para evadir estos controles.
La protección del correo entrante es una capa independiente y debe incluir:
- Filtrado de correo en servidores o en la nube que valide los resultados de SPF, DKIM y DMARC al momento de la recepción y ponga en cuarentena los mensajes que no superen las verificaciones, incluso aquellos provenientes de dominios cuya política esté configurada únicamente en modo de monitoreo.
- Detección de dominios similares y de la suplantación mediante el nombre visible del remitente (display-name impersonation), donde el dominio remitente está correctamente autenticado, pero fue registrado para parecerse a uno de confianza.
- Análisis de archivos adjuntos y URL, ya que la falsificación de la información del remitente suele ser el mecanismo de entrega de un enlace o documento malicioso, y no el ataque en sí.
ESET Mail Security y ESET Cloud Office Security aplican estas comprobaciones al correo que llega a servidores locales y a entornos Microsoft 365 y Google Workspace, combinando validación de autenticación, protección antiphishing, antispam y análisis de archivos adjuntos.
Tecnología y educación: un dúo necesario
Estas tecnologías, aunque complementarias, desempeñan un papel fundamental en la creación de un entorno de comunicación por correo electrónico más seguro y confiable. Al permitir la validación del dominio remitente, la verificación de la integridad de los mensajes y la aplicación de políticas contra intentos de spoofing, reducen las oportunidades de que los ciberdelincuentes hagan un uso indebido de dominios legítimos y lleven a cabo campañas fraudulentas.
En la práctica, la secuencia importa más que cada registro por separado: publica SPF, firma con DKIM, implementa DMARC en modo de monitoreo, analiza los informes hasta que todos los remitentes legítimos estén autenticados y luego lleva la política a modo de aplicación. La protección que proporcionan estos mecanismos va más allá de la propia organización, ya que ayuda a usuarios y clientes a desarrollar una mayor confianza en los mensajes que reciben.
Sin embargo, la tecnología por sí sola no es suficiente. La concientización en ciberseguridad sigue siendo un componente esencial para reforzar la protección de empresas, empleados y clientes. A medida que las amenazas relacionadas con la suplantación de identidad y la ingeniería social continúan evolucionando, todos deben estar preparados para identificar las señales de correos fraudulentos, comprender los riesgos asociados a las comunicaciones electrónicas y adoptar comportamientos seguros en el entorno digital.
Preguntas frecuentes
¿Puedo evitar que hagan spoofing de mi email?
No puedes impedir que un atacante escriba tu dirección en un mensaje, pero sí puedes lograr que los servidores receptores rechacen ese mensaje. Publicar registros SPF y DKIM, y aplicar una política DMARC con p=reject, permite que los correos que afirman provenir de tu dominio pero no superan la autenticación sean rechazados antes de llegar al destinatario.
¿Cómo saber si alguien está haciendo spoofing de mi email?
La evidencia más clara son los informes agregados de DMARC, que muestran todos los servidores que envían correos afirmando representar tu dominio. Los mensajes de rebote de correos que nunca enviaste y los reportes de clientes sobre facturas inesperadas o restablecimientos de contraseña son señales tempranas habituales.
¿Qué sucede cuando un email ha sido falsificado?
El destinatario ve un mensaje que parece provenir de un remitente confiable. No existe necesariamente una intrusión en tus sistemas: no se accede a ninguna cuenta ni se extraen datos. Sin embargo, el destinatario puede actuar sobre una solicitud fraudulenta y, con el tiempo, los abusos repetidos pueden dañar la reputación y la capacidad de entrega de tu dominio.
¿Es ilegal el spoofing de email?
La falsificación de la información del remitente con el fin de cometer fraude, robar credenciales o distribuir malware constituye un delito en la mayoría de las jurisdicciones. Además, hacerse pasar por el dominio de una empresa también puede implicar infracción de marca registrada. No obstante, la falsificación de remitentes por sí sola, por ejemplo, en pruebas de seguridad autorizadas, no es intrínsecamente ilegal.
