El spoofing de email consiste en falsificar la información del remitente para que un mensaje parezca enviado por una persona u organización confiable cuando en realidad no es así. Esto es posible porque el protocolo SMTP, en su diseño original, no valida de forma inherente quién está autorizada para enviar correos en nombre de un dominio.
Por qué es un problema para webs y servicios
Los ciberdelincuentes usan el spoofing para que los destinatarios abran mensajes, hagan clic en enlaces o envíen datos sensibles. Estas campañas suelen formar parte de fraudes financieros, phishing, robo de credenciales o distribución de malware. Además del daño a víctimas individuales, la falsificación de un dominio puede perjudicar la reputación de la organización, reducir la entregabilidad y generar reclamaciones de clientes.
Cómo funciona técnicamente
En un correo hay dos direcciones de remitente: la visible en el campo From y la dirección del sobre (MAIL FROM) usada por SMTP. Un atacante puede construir un mensaje con un From que muestre, por ejemplo, [email protected] y enviarlo desde un servidor que no pertenece a ese dominio; no hace falta comprometer cuentas ni robar contraseñas. Por eso, revisar los encabezados del mensaje (Authentication-Results, Received, etc.) es necesario para determinar si un correo fue autenticado.
SPF, DKIM y DMARC: qué hacen y cómo se complementan
SPF, DKIM y DMARC son mecanismos que reducen la probabilidad de falsificación cuando se implementan conjuntamente:
- SPF (Sender Policy Framework): es un registro DNS que indica qué servidores están autorizados a enviar correo para un dominio. El servidor receptor consulta ese registro y decide si el remitente está permitido. SPF aporta una señal importante, pero tiene limitaciones: valida el remitente del sobre (MAIL FROM), no la dirección From que ve el usuario, y falla en reenvíos porque el servidor intermedio no suele estar autorizado.
- DKIM (DomainKeys Identified Mail): firma criptográficamente partes del mensaje con una clave que se publica en DNS. Si la firma es válida, el receptor sabe que el mensaje no fue alterado y que proviene de una fuente autorizada por la clave del dominio.
- DMARC (Domain-based Message Authentication, Reporting and Conformance): combina las señales de SPF y DKIM y define una política para los mensajes que no pasan dichas comprobaciones (ninguna acción, puesta en cuarentena o rechazo). Además permite recibir informes agregados que ayudan a identificar qué servidores están enviando correo usando el dominio.
Qué debe hacer un administrador o dueño de web
- Comprobar la configuración actual: revisar registros DNS de SPF y DKIM y habilitar DMARC en modo de monitoreo para recibir informes agregados que detecten suplantaciones.
- Publicar un registro SPF que incluya solo los servidores legítimos, validarlo antes de desplegarlo y tener en cuenta el límite de diez consultas DNS que puede romper registros complejos.
- Implementar DKIM para firmar los mensajes salientes y asegurarse de que las claves y selector están correctamente publicados en DNS.
- Habilitar DMARC en modo de monitoreo inicialmente para analizar los informes; una vez que los envíos legítimos estén cubiertos, aplicar una política más restrictiva si procede.
- Tener en cuenta que SPF no soluciona todos los casos (por ejemplo, reenvíos) y que la combinación con DKIM y la alineación que exige DMARC es la forma práctica de reducir la suplantación.
Impacto de la IA en las campañas de spoofing
La inteligencia artificial facilita la creación de mensajes más convincentes y personalizados que imitan el tono y estilo de comunicaciones legítimas, lo que dificulta la detección manual. Por eso, además de la autenticación técnica, conviene educar a usuarios y aplicar filtros y controles de seguridad que analicen contenido y comportamiento de los correos.
Resumen práctico
El spoofing explota la falta de verificación nativa de SMTP para fingir remitentes. La defensa efectiva pasa por publicar y mantener registros SPF, firmar con DKIM y desplegar DMARC (primero en modo de monitorización). Los informes de DMARC son especialmente útiles para identificar servidores no autorizados y actuar sin interrumpir correos legítimos.
Lee también:
- Google y Microsoft sí respetan p=reject de DMARC, pero hay matices para empresas
- WIPO reconoce derechos de marca no registrada a un proyecto Open Source en la disputa por libbitcoin.org
Fuente: WeLiveSecurity
