El spoofing de email: cómo funciona y cómo evitarlo

El spoofing de email es una práctica utilizada por ciberdelincuentes para falsificar la información del remitente de un correo electrónico, haciendo que parezca provenir de una persona o organización de confianza. Esta técnica se basa en la falsificación del encabezado 'From' del mensaje, lo que permite a los atacantes enviar correos que parecen legítimos, pero que en realidad son fraudulentos.

Según ESET Latinoamérica, esta práctica es una de las más utilizadas por los ciberdelincuentes, especialmente en campañas de phishing, fraude financiero, robo de credenciales y distribución de malware. Los correos pueden contener enlaces a sitios falsos, archivos adjuntos maliciosos o solicitudes engañosas diseñadas para obtener información confidencial o realizar acciones que comprometan la seguridad de los usuarios.

El impacto del spoofing no solo afecta a las víctimas directas, sino también a las organizaciones cuyos dominios son utilizados de forma indebida. Estas pueden sufrir daños reputacionales, pérdida de confianza de clientes y socios, y un aumento de los riesgos operativos. En algunos casos, la falta de medidas de protección adecuadas puede incluso generar cuestionamientos sobre el cumplimiento normativo y la gobernanza de la seguridad de la información.

Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, señala que los avances de la inteligencia artificial han facilitado la creación de campañas de phishing más sofisticadas. Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas, lo que hace que los fraudes por correo electrónico sean cada vez más difíciles de detectar.

Todo correo electrónico contiene dos direcciones de remitente diferentes: el remitente del sobre (MAIL FROM) y el encabezado From. El primero es utilizado por los servidores de correo para enrutar el mensaje y gestionar los rebotes, mientras que el segundo es la dirección que aparece en la bandeja de entrada del destinatario. Es precisamente esta separación la que explota el spoofing, permitiendo a los ciberdelincuentes configurar el encabezado From como [email protected] y enviar el mensaje desde un servidor sin ninguna relación con esa organización.

Muchas organizaciones descubren que su dominio está siendo falsificado de forma indirecta: mediante mensajes de rebote de correos que nunca enviaron, reclamos de clientes por facturas fraudulentas o una caída repentina de la entregabilidad causada por el deterioro de la reputación del dominio.

Un mensaje falsificado puede parecer legítimo en la bandeja de entrada, por lo que es necesario revisar los encabezados para determinar si fue autenticado. En Gmail, por ejemplo, al abrir el mensaje y hacer clic en el menú de tres puntos situado en la esquina superior derecha y seleccionar 'Mostrar original'. En Outlook, en cambio, se accede a 'Archivo > Propiedades > Encabezados de Internet', y se busca la línea 'Authentication-Results'.

Si SPF, DKIM o DMARC muestran el resultado 'fail', significa que el servidor de envío no fue autorizado por el dominio presente en la dirección From. Un Return-Path diferente de la dirección From visible es un indicador frecuente, aunque algunos servicios legítimos de envío masivo también generan esta diferencia. Los encabezados Received que apuntan a una infraestructura sin relación con el supuesto remitente constituyen una fuerte señal de alerta.

Si tu propio dominio está siendo falsificado, los informes agregados de DMARC son la forma más rápida de confirmar el problema e identificar qué servidores están enviando mensajes utilizando tu dominio. Configurar DMARC en modo de monitoreo es el primer paso práctico, según el investigador de ESET.

Aunque el spoofing es posible debido a las limitaciones de los protocolos originales del correo electrónico, existen mecanismos ampliamente adoptados que ayudan a autenticar los mensajes y reducen significativamente la posibilidad de falsificación. Entre ellos se encuentran SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail), DMARC (Domain-based Message Authentication, Reporting and Conformance), y BIMI (Brand Indicators for Message Identification). Los tres mecanismos principales trabajan de forma conjunta: SPF y DKIM aportan señales de autenticación, mientras que DMARC indica a los servidores receptores qué hacer cuando esas señales fallan. BIMI, por su parte, permite que el logotipo de una organización aparezca junto a sus mensajes una vez que estos han sido validados mediante SPF, DKIM y DMARC.

Sin embargo, estos mecanismos evitan que tu dominio sea utilizado para atacar a terceros, pero no hacen nada frente a los mensajes falsificados que llegan a las bandejas de entrada de tus empleados desde dominios que no controlas. Esto incluye dominios de socios y proveedores con una autenticación débil o inexistente, así como dominios similares a los legítimos registrados específicamente para eludir estas protecciones.