El spoofing de email consiste en falsificar la información del remitente de un correo electrónico para que un mensaje parezca provenir de una persona u organización de confianza cuando en realidad no es así. Esto es posible porque el protocolo original del correo electrónico, SMTP, fue diseñado sin verificación del remitente. Cualquier servidor puede afirmar que envía mensajes en nombre de cualquier dominio, a menos que ese dominio utilice SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) y DMARC (Domain-based Message Authentication, Reporting and Conformance) para ayudar a los servidores receptores a identificar mensajes no autorizados.

La falsificación de dominios de correo electrónico sigue siendo una de las técnicas más utilizadas por los ciberdelincuentes para hacerse pasar por empresas y organizaciones legítimas. Cuando logran que un mensaje parezca provenir de una institución confiable, aumentan significativamente las probabilidades de que sea abierto, leído y considerado legítimo por el destinatario.

Estos ataques suelen formar parte de campañas de phishing, fraude financiero, robo de credenciales y distribución de malware. Los mensajes pueden contener enlaces a sitios falsos, archivos adjuntos maliciosos o solicitudes engañosas diseñadas para inducir al usuario a compartir información confidencial o realizar acciones que comprometan su seguridad o la de su organización.

Los avances de la inteligencia artificial han facilitado la creación de campañas de phishing más sofisticadas. Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas, lo que hace que los fraudes por correo electrónico sean cada vez más difíciles de detectar.

El impacto del spoofing va más allá de las víctimas directas. Las organizaciones cuyos dominios son utilizados de forma indebida pueden sufrir daños reputacionales, pérdida de confianza de clientes y socios, y un aumento de los riesgos operativos. En algunos casos, la falta de medidas de protección adecuadas puede incluso generar cuestionamientos relacionados con el cumplimiento normativo y la gobernanza de la seguridad de la información.

Cómo funciona el spoofing de email

Todo correo electrónico contiene dos direcciones de remitente diferentes, y es precisamente esta separación la que explota el spoofing.

  • El remitente del sobre (también denominado MAIL FROM y reflejado en el encabezado Return-Path) es utilizado por los servidores de correo para enrutar el mensaje y gestionar los rebotes. Normalmente, los destinatarios nunca lo ven.
  • El encabezado From es la dirección que aparece en la bandeja de entrada del destinatario. Se trata simplemente de una línea de texto dentro del mensaje, y el servidor emisor no necesita demostrar que tiene derecho a utilizarla.

Por eso, un ciberdelincuente puede configurar el encabezado From como facturacion@tuempresa.com y enviar el mensaje desde un servidor sin ninguna relación con esa organización. No es necesario vulnerar ningún sistema: no se compromete ninguna cuenta de correo ni se roba ninguna contraseña. El mensaje simplemente se construye con información falsa del remitente y se entrega a un servidor de correo que lo acepta.

Por esta razón, muchas organizaciones descubren que su dominio está siendo falsificado de forma indirecta: mediante mensajes de rebote de correos que nunca enviaron, reclamos de clientes por facturas fraudulentas o una caída repentina de la entregabilidad causada por el deterioro de la reputación del dominio.

Cómo saber si un email ha sido falsificado

Un mensaje falsificado puede parecer legítimo en la bandeja de entrada, por lo que es necesario revisar los encabezados para determinar si fue autenticado. En Gmail, abre el mensaje, haz clic en el menú de tres puntos situado en la esquina superior derecha y selecciona Mostrar original. En Outlook, accede a Archivo > Propiedades > Encabezados de Internet. Busca la línea Authentication-Results:

  • Si SPF, DKIM o DMARC muestran el resultado fail, significa que el servidor de envío no fue autorizado por el dominio presente en la dirección From.
  • Un Return-Path diferente de la dirección From visible es un indicador frecuente, aunque algunos servicios legítimos de envío masivo también generan esta diferencia
  • Los encabezados Received que apuntan a una infraestructura sin relación con el supuesto remitente constituyen una fuerte señal de alerta.

Si tu propio dominio está siendo falsificado, los informes agregados de DMARC son la forma más rápida de confirmar el problema e identificar qué servidores están enviando mensajes utilizando tu dominio. Configurar DMARC en modo de monitoreo, como se explica más adelante, es el primer paso práctico.

ecat-eset

Cómo proteger tu dominio de email contra el spoofing: SPF, DKIM, DMARC y BIMI

Aunque el spoofing es posible debido a las limitaciones de los protocolos originales del correo electrónico, existen mecanismos ampliamente adoptados que ayudan a autenticar los mensajes y reducen significativamente la posibilidad de falsificación. Entre ellos se encuentran SPF, DKIM, DMARC y BIMI (Brand Indicators for Message Identification).

Los tres mecanismos principales trabajan de forma conjunta: SPF y DKIM aportan señales de autenticación, mientras que DMARC indica a los servidores receptores qué hacer cuando esas señales fallan. BIMI, por su parte, permite que el logotipo de una organización aparezca junto a sus mensajes una vez que estos han sido validados mediante SPF, DKIM y DMARC.

Registros SPF

SPF (Sender Policy Framework) es uno de los mecanismos fundamentales para proteger los dominios de correo electrónico. Consiste en un registro publicado en DNS que especifica qué servidores están autorizados para enviar mensajes en nombre de un dominio.

Cuando se recibe un correo electrónico, el servidor receptor consulta el registro SPF asociado al dominio remitente para verificar si el servidor que envió el mensaje está autorizado. Si la validación es exitosa, la comunicación puede continuar con controles adicionales. De lo contrario, el correo puede ser rechazado, puesto en cuarentena o marcado como sospechoso.

A pesar de su importancia, SPF por sí solo no es suficiente para evitar todas las formas de spoofing y debe complementarse con otras tecnologías de autenticación.

SPF tiene además una limitación específica: valida el remitente del sobre, no la dirección From que ve el destinatario. Un mensaje puede aprobar SPF y aun así mostrar una dirección visible falsificada. Corregir esa brecha es precisamente la función de la alineación proporcionada por DMARC.

Los principales mecanismos utilizados en un registro SPF son:

  • ip4: autoriza servidores mediante direcciones IPv4.
  • ip6: autoriza servidores mediante direcciones IPv6.
  • a: autoriza las direcciones IP asociadas al registro A del dominio.
  • mx: autoriza los servidores definidos en los registros MX del dominio.
  • include: permite autorizar servicios externos de envío de correo.
  • all: define la política que se aplicará a servidores no autorizados.

Ejemplos:

v=spf1 ip4:203.0.113.10 ip4:198.51.100.20 -all

Autoriza dos servidores de envío.

v=spf1 include:spf.protection.outlook.com a:mail.example.com -all

Autoriza los servidores de envío de Microsoft 365 y el servidor cuya dirección IP está asociada al registro A de mail.example.com.

v=spf1 mx|x ~all

Autoriza los servidores definidos en los registros MX del dominio. Los mensajes enviados desde otros servidores reciben una indicación de fallo suave (soft fail).

Un registro SPF mal configurado puede impedir la entrega de correos legítimos. Antes de publicarlo o modificarlo, conviene validar la configuración y evaluar su impacto en los flujos de correo.

En la práctica, dos problemas explican gran parte de los errores relacionados con SPF. El primero es el límite de diez consultas DNS por registro: cada instrucción include: consume al menos una consulta, y las organizaciones que utilizan múltiples plataformas de marketing, CRM o soporte suelen superar fácilmente ese límite, invalidando el registro completo. El segundo es que SPF deja de funcionar cuando el mensaje es reenviado, ya que el servidor de reenvío no figura entre los autorizados. Por eso, SPF debe considerarse una señal más dentro de una estrategia de autenticación más amplia.

DKIM (DomainKeys Identified Mail)

DKIM utiliza criptografía asimétrica para verificar la autenticidad y la integridad de los mensajes enviados. Proporciona una capa adicional de autenticación que complementa SPF y fortalece la protección frente al spoofing y otros ataques de suplantación de identidad.

El funcionamiento de DKIM se basa en dos etapas:

  • Cuando se envía un mensaje desde un dominio con DKIM configurado, el servidor agrega una firma digital generada con la clave privada asociada al dominio
  • El servidor receptor obtiene la clave pública publicada en DNS y verifica la firma para confirmar tanto la autenticidad del mensaje como que su contenido no fue alterado durante la transmisión.

Además de impedir el uso no autorizado del dominio, DKIM incrementa la confianza de los servidores receptores. Los mensajes procedentes de dominios correctamente configurados tienen más probabilidades de superar los controles de autenticación y contribuir positivamente a la reputación del dominio.

La configuración de DKIM requiere generar claves criptográficas, publicar registros DNS y habilitar la firma de mensajes siguiendo las directrices del proveedor de correo electrónico, ya sea Google Workspace, Microsoft 365 u otra plataforma.

La clave pública se publica en un subdominio específico asociado a cada selector:

selector1._domainkey.example.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."

Se recomienda utilizar claves de al menos 2048 bits y rotarlas periódicamente. A diferencia de SPF, DKIM continúa siendo válido después del reenvío porque la firma acompaña al mensaje.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC fue desarrollado para complementar SPF y DKIM. Este protocolo utiliza los resultados de ambas validaciones y permite que los propietarios de dominios definan políticas para gestionar mensajes que no cumplen los requisitos de autenticación.

Según la política publicada, el servidor receptor puede aceptar, rechazar o poner en cuarentena los correos electrónicos que no superen las verificaciones. Además, DMARC permite enviar informes periódicos que ayudan a monitorear intentos de spoofing y problemas de autenticación.

DMARC aporta un elemento que SPF y DKIM no pueden proporcionar de forma independiente: alignment. Exige que el dominio validado por SPF o DKIM coincida con el dominio visible en la dirección From, lo que realmente impide que un atacante muestre tu marca en la bandeja de entrada del destinatario.

Un registro DMARC se publica como un registro TXT en _dmarc.example.com:

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; pct=100; adkim=s; aspf=s

Las etiquetas principales son:

  • p=: política aplicada a los mensajes que fallan la autenticación: none, quarantine o reject.
  • rua=: dirección que recibe los informes agregados.
  • pct=: porcentaje de mensajes con fallos al que se aplica la política, utilizado para aumentar gradualmete el nivel de protección.
  • sp=: política de subdominios, que suelen ser un objetivo frecuente cuando el dominio principal está protegido.
  • adkim= / aspf=: nivel de exigencia de la alineación, relajada (r, valor predeterminado) o estricta (s).

Implementar DMARC de una sola vez es una de las causas más frecuentes de pérdida accidental de correos legítimos. La secuencia recomendada es la siguiente:

  1. Publicar p=none con una dirección para recibir informes y no realizar ningún otro cambio. La entrega de correos no se ve afectada.
  2. Analizar los informes agregados durante cuatro a ocho semanas para elaborar un inventario completo de todos los servicios que envían mensajes en nombre de la organización. Las plataformas de marketing, los sistemas de facturación, las herramientas de RR. HH. y las mesas de ayuda suelen pasarse por alto.
  3. Autenticar todos los remitentes legítimos mediante SPF y DKIM y corregir los problemas de alineación.
  4. Pasar a p=quarantine, comenzando con un valor bajo de pct= y aumentándolo gradualmente mientras se supervisan los informes.
  5. Pasar a p=reject, la única política que realmente impide que los correos falsificados lleguen a los destinatarios. Un dominio que permanece indefinidamente en p=none está monitoreado, pero no protegido.

La autenticación del correo electrónico ya es un requisito de entregabilidad, no solo una medida de seguridad

Desde 2024, los principales proveedores de correo electrónico han convertido la autenticación en un requisito para la entrega de mensajes y no simplemente en una recomendación. Google y Yahoo introdujeron requisitos para remitentes masivos, es decir, aquellos que envían aproximadamente 5.000 mensajes diarios a sus usuarios, que incluyen autenticación SPF y DKIM, una política DMARC publicada, cancelación de suscripción con un clic para correos de marketing y tasas de denuncias por spam por debajo de determinados umbrales. Posteriormente, Microsoft anunció requisitos similares para remitentes de alto volumen dirigidos a dominios Outlook.com.

La consecuencia práctica es que las organizaciones que no implementan estas protecciones ahora enfrentan dos problemas en lugar de uno: su dominio queda disponible para intentos de suplantación y sus correos legítimos de campañas, facturación y notificaciones tienen cada vez más probabilidades de ser filtrados o rechazados. Antes de planificar una implementación, conviene consultar la documentación actualizada de cada proveedor, ya que estos requisitos continúan endureciéndose.

La consecuencia práctica es que las organizaciones que no cuentan con estos registros enfrentan ahora dos problemas en lugar de uno: su dominio queda disponible para la suplantación y sus correos legítimos de campañas, facturación y notificaciones tienen cada vez más probabilidades de ser filtrados o rechazados. Confirma los requisitos vigentes en la documentación de cada proveedor antes de planificar una implementación, ya que estos continúan evolucionando.

BIMI

Hasta este punto, todos los mecanismos analizados en este artículo funcionan principalmente entre bastidores, sin interacción directa con el usuario final que recibe el correo electrónico. Aunque estas tecnologías son esenciales para validar la autenticidad de los mensajes, también es importante ofrecer a los destinatarios una forma visual de reconocer que una comunicación realmente pertenece a la organización indicada.

Aquí es donde entra en juego BIMI (Brand Indicators for Message Identification). BIMI es un estándar de autenticación e identificación visual que permite a las organizaciones mostrar sus logotipos junto a los correos electrónicos enviados desde sus dominios. El logotipo puede aparecer directamente en la bandeja de entrada del destinatario, por ejemplo junto al nombre del remitente, proporcionando reconocimiento inmediato de la marca y reforzando la confianza en las comunicaciones por correo electrónico.

La implementación de BIMI requiere varios pasos comunes a la mayoría de los proveedores de correo electrónico. En primer lugar, las organizaciones deben preparar un logotipo compatible, normalmente en formato SVG y sujeto a requisitos específicos de seguridad y estandarización, asegurándose de que la imagen esté correctamente asociada al dominio de envío.

Además, DMARC debe estar configurado con una política de aplicación (p=quarantine o p=reject), lo que exige que SPF y DKIM estén implementados y alineados correctamente. Dependiendo del proveedor de correo electrónico y del nivel de validación requerido, también puede ser necesario contar con un certificado VMC (Verified Mark Certificate) u otro certificado aceptado por el ecosistema BIMI. Este certificado debe ser emitido por una autoridad certificadora reconocida, como DigiCert, para demostrar la propiedad y autenticidad del logotipo utilizado.

BIMI es el último paso, no el primero. Como depende de que DMARC ya esté funcionando con una política de aplicación activa, solo tiene sentido implementarlo cuando toda la cadena de SPF, DKIM y DMARC esté completa y estabilizada.

Cómo proteger a tu organización de los correos falsificados que llegan a las bandejas de entrada

SPF, DKIM, DMARC y BIMI evitan que tu dominio sea utilizado para atacar a terceros. Sin embargo, no hacen nada frente a los mensajes falsificados que llegan a las bandejas de entrada de tus empleados desde dominios que no controlas. Esto incluye dominios de socios y proveedores con una autenticación débil o inexistente, así como dominios similares a los legítimos registrados específicamente para eludir estas protecciones.

La protección del correo entrante constituye una capa independiente y debe incluir:

  • Filtrado de correo electrónico en el servidor o en la nube que valide los resultados de SPF, DKIM y DMARC al momento de la recepción y ponga en cuarentena los mensajes que no superen las verificaciones, incluso aquellos provenientes de dominios cuya política solo está configurada en modo de monitoreo.
  • Detección de dominios similares y de suplantación mediante el nombre visible del remitente (display name spoofing), situaciones en las que el dominio está correctamente autenticado, pero fue registrado para parecerse a uno legítimo.
  • Análisis de archivos adjuntos y URL, ya que la falsificación de la información del remitente suele ser únicamente el mecanismo de entrega de un enlace o documento malicioso, y no el ataque en sí.

ESET Mail Security y ESET Cloud Office Security aplican estas verificaciones a los correos electrónicos que llegan tanto a servidores locales (on-premises) como a entornos de Microsoft 365 y Google Workspace, combinando validación de autenticación, protección antiphishing, antispam y análisis de archivos adjuntos.

Tecnología y educación: una combinación necesaria

Estas tecnologías complementarias desempeñan un papel fundamental en la construcción de un entorno de comunicación por correo electrónico más seguro y confiable. Al permitir la validación del dominio remitente, la verificación de la integridad de los mensajes y la aplicación de políticas frente a intentos de spoofing, reducen las oportunidades de que los ciberdelincuentes utilicen dominios legítimos de forma indebida para llevar adelante campañas fraudulentas.

En la práctica, la secuencia de implementación importa más que cada mecanismo por separado: publica SPF, firma los mensajes con DKIM, implementa DMARC en modo de monitoreo, analiza los informes hasta asegurarte de que todos los remitentes legítimos estén autenticados y, recién entonces, pasa a una política de aplicación. La protección que proporcionan estos mecanismos va más allá de la propia organización, ya que también ayuda a usuarios y clientes a confiar más en los mensajes que reciben.

Sin embargo, la tecnología por sí sola no es suficiente. La concientización en ciberseguridad sigue siendo esencial para fortalecer la protección de empresas, empleados y clientes. A medida que las amenazas relacionadas con la suplantación de identidad y la ingeniería social continúan evolucionando, todos deben estar preparados para identificar señales de correos fraudulentos, comprender los riesgos asociados a las comunicaciones electrónicas y adoptar comportamientos seguros en el entorno digital.

Preguntas frecuentes

¿Es posible impedir que falsifiquen mi email?

No es posible impedir que un ciberdelincuente utilice tu dirección en un mensaje, pero sí lograr que los servidores receptores rechacen esos correos. Al publicar registros SPF y DKIM y aplicar una política DMARC con p=reject, los mensajes que afirman provenir de tu dominio pero no superan la autenticación son rechazados antes de llegar al destinatario.

¿Cómo saber si alguien está falsificando mi email?

La evidencia más clara son los informes agregados de DMARC, que permiten identificar todos los servidores que envían mensajes utilizando tu dominio. Los mensajes de rebote de correos que nunca enviaste y los reportes de clientes sobre facturas o restablecimientos de contraseña inesperados suelen ser las primeras señales de alerta.

¿Qué ocurre cuando un email ha sido falsificado?

El destinatario recibe un mensaje que parece provenir de un remitente confiable. No necesariamente existe una intrusión en tus sistemas: no se accede a ninguna cuenta ni se extraen datos de tu organización. Sin embargo, el destinatario puede actuar sobre una solicitud fraudulenta y, con el tiempo, estos abusos pueden afectar la reputación de envío y la entregabilidad de tu dominio.

¿Es ilegal el spoofing de email?

La falsificación de la información del remitente con el objetivo de cometer fraude, robar credenciales o distribuir malware constituye un delito en la mayoría de las jurisdicciones. Asimismo, hacerse pasar por el dominio de una empresa puede implicar una infracción de marca. No obstante, la falsificación de remitentes por sí sola, como ocurre en pruebas de seguridad autorizadas o ejercicios de simulación, no es necesariamente ilegal.