La suplantación de correo electrónico (email spoofing) es la falsificación de los datos del remitente de un mensaje para que parezca proceder de una persona u organización de confianza y no de su origen real.
Cómo funciona la suplantación de correo
El protocolo básico del correo, SMTP (RFC 5321), se diseñó sin autenticación del remitente: la dirección «From» es simplemente un texto que escribe el servidor emisor. Los atacantes lo aprovechan de varias formas:
- Suplantación del dominio exacto: usar en la cabecera From el dominio real de un banco o una empresa, algo que funciona si el dominio no tiene una política de autenticación estricta.
- Suplantación del nombre visible: mostrar un nombre de confianza, como el del director general, mientras la dirección real es un buzón gratuito.
- Dominios parecidos: registrar un dominio similar, por ejemplo con letras intercambiadas.
- Manipulación de Reply-To: las respuestas llegan sin que se note a la dirección del atacante.
La suplantación de correo es una forma de spoofing y se distingue del compromiso de cuentas, en el que los atacantes envían desde un buzón real secuestrado.
Por qué es importante
Los remitentes falsificados hacen el phishing y el spear phishing mucho más convincentes y son el eje del compromiso del correo empresarial, en el que mensajes falsos de directivos o proveedores desencadenan pagos fraudulentos. La suplantación también se usa para propagar malware y dañar la reputación de una marca.
Cómo prevenirla
- Publicar registros SPF (RFC 7208) que indiquen qué servidores pueden enviar en nombre de su dominio.
- Firmar el correo saliente con DKIM (RFC 6376).
- Implantar DMARC (RFC 7489) y avanzar de forma gradual hacia la política
p=reject; desde 2024, Google y Yahoo exigen DMARC a los remitentes masivos. - Marcar los correos externos en el cliente, señalar los dominios parecidos y verificar las solicitudes de pago por un canal distinto.
