El spoofing de email falsifica la identidad del remitente para que un mensaje parezca provenir de un correo o empresa legitima. ESET comparte consejos que ayudan a detectar y bloquear correos falsificados.
El spoofing de email consiste en falsificar la información del remitente de un correo electrónico para que un mensaje parezca provenir de una persona u organización de confianza cuando en realidad no es así. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que la falsificación de dominios de correo electrónico sigue siendo una de las técnicas más utilizadas por los ciberdelincuentes para hacerse pasar por empresas y organizaciones legítimas, y menciona que cuando logran que un mensaje parezca provenir de una institución confiable, aumentan significativamente las probabilidades de que sea abierto, leído y considerado legítimo por el destinatario.
Estos ataques suelen formar parte de campañas de phishing, fraude financiero, robo de credenciales y distribución de malware. Los mensajes pueden contener enlaces a sitios falsos, archivos adjuntos maliciosos o solicitudes engañosas diseñadas para inducir al usuario a compartir información confidencial o realizar acciones que comprometan su seguridad o la de su organización.
El impacto del spoofing va más allá de las víctimas directas. Las organizaciones cuyos dominios son utilizados de forma indebida pueden sufrir daños reputacionales, pérdida de confianza de clientes y socios, y un aumento de los riesgos operativos. En algunos casos, la falta de medidas de protección adecuadas puede incluso generar cuestionamientos relacionados con el cumplimiento normativo y la gobernanza de la seguridad de la información.
“Los avances de la inteligencia artificial han facilitado la creación de campañas de phishing más sofisticadas. Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas, lo que hace que los fraudes por correo electrónico sean cada vez más difíciles de detectar.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
Todo correo electrónico contiene dos direcciones de remitente diferentes, y es precisamente esta separación la que explota el spoofing:
- El remitente del sobre (también denominado MAIL FROM) es utilizado por los servidores de correo para enrutar el mensaje y gestionar los rebotes. Normalmente, los destinatarios nunca lo ven.
- El encabezado From es la dirección que aparece en la bandeja de entrada del destinatario. Se trata simplemente de una línea de texto dentro del mensaje, y el servidor emisor no necesita demostrar que tiene derecho a utilizarla.
“Por eso, un ciberdelincuente puede configurar el encabezado From como facturacion@tuempresa.com y enviar el mensaje desde un servidor sin ninguna relación con esa organización. No es necesario vulnerar ningún sistema: no se compromete ninguna cuenta de correo ni se roba ninguna contraseña. El mensaje simplemente se construye con información falsa del remitente y se entrega a un servidor de correo que lo acepta.”, explica Micucci.
Muchas organizaciones descubren que su dominio está siendo falsificado de forma indirecta: mediante mensajes de rebote de correos que nunca enviaron, reclamos de clientes por facturas fraudulentas o una caída repentina de la entregabilidad causada por el deterioro de la reputación del dominio.
Un mensaje falsificado puede parecer legítimo en la bandeja de entrada, por lo que es necesario revisar los encabezados para determinar si fue autenticado. En Gmail, por ejemplo, al abrir el mensaje y hacer clic en el menú de tres puntos situado en la esquina superior derecha y se selecciona Mostrar original. En Outlook, en cambio, se accede a Archivo > Propiedades > Encabezados de Internet, y se busca la línea Authentication-Results:
- Si SPF, DKIM o DMARC muestran el resultado fail, significa que el servidor de envío no fue autorizado por el dominio presente en la dirección From.
- Un Return-Path diferente de la dirección From visible es un indicador frecuente, aunque algunos servicios legítimos de envío masivo también generan esta diferencia
- Los encabezados Received que apuntan a una infraestructura sin relación con el supuesto remitente constituyen una fuerte señal de alerta.
“Si tu propio dominio está siendo falsificado, los informes agregados de DMARC son la forma más rápida de confirmar el problema e identificar qué servidores están enviando mensajes utilizando tu dominio. Configurar DMARC en modo de monitoreo es el primer paso práctico.”, aconseja el investigador de ESET.
Aunque el spoofing es posible debido a las limitaciones de los protocolos originales del correo electrónico, existen mecanismos ampliamente adoptados que ayudan a autenticar los mensajes y reducen significativamente la posibilidad de falsificación. Entre ellos se encuentran SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail), DMARC (Domain-based Message Authentication, Reporting and Conformance), y BIMI (Brand Indicators for Message Identification). Los tres mecanismos principales trabajan de forma conjunta: SPF y DKIM aportan señales de autenticación, mientras que DMARC indica a los servidores receptores qué hacer cuando esas señales fallan. BIMI, por su parte, permite que el logotipo de una organización aparezca junto a sus mensajes una vez que estos han sido validados mediante SPF, DKIM y DMARC.
“Si bien estos mecanismos evitan que tu dominio sea utilizado para atacar a terceros. Sin embargo, no hacen nada frente a los mensajes falsificados que llegan a las bandejas de entrada de tus empleados desde dominios que no controlas. Esto incluye dominios de socios y proveedores con una autenticación débil o inexistente, así como dominios similares a los legítimos registrados específicamente para eludir estas protecciones.”, agrega Micucci.
La protección frente a un correo entrante constituye una capa independiente y debe incluir:
- Filtrado de correo electrónico en el servidor o en la nube que valide los resultados de SPF, DKIM y DMARC al momento de la recepción y ponga en cuarentena los mensajes que no superen las verificaciones, incluso aquellos provenientes de dominios cuya política solo está configurada en modo de monitoreo.
- Detección de dominios similares y de suplantación mediante el nombre visible del remitente (display name spoofing), situaciones en las que el dominio está correctamente autenticado, pero fue registrado para parecerse a uno legítimo.
- Análisis de archivos adjuntos y URL, ya que la falsificación de la información del remitente suele ser únicamente el mecanismo de entrega de un enlace o documento malicioso, y no el ataque en sí.
“Estas tecnologías complementarias son fundamentales para un entorno de comunicación más seguro y confiable. Al permitir la validación del dominio remitente, la verificación de la integridad de los mensajes y la aplicación de políticas frente a intentos de spoofing, se reducen las oportunidades del uso de dominios legítimos de forma indebida campañas fraudulentas. ESET Mail Security y ESET Cloud Office Security aplican estas verificaciones a los correos electrónicos que llegan tanto a servidores locales (on-premises) como a entornos de Microsoft 365 y Google Workspace, combinando validación de autenticación, protección antiphishing, antispam y análisis de archivos adjuntos. Sin embargo, la tecnología por sí sola no es suficiente. La concientización sigue siendo esencial para fortalecer la protección de empresas, empleados y clientes. Todos debemos estar preparados para identificar señales de correos fraudulentos, comprender los riesgos y adoptar comportamientos seguros en el entorno digital.”, concluye Mario Micucci, Investigador de ESET Latinoamérica
