¿Qué es la suplantación de correo (spoofing)?
La suplantación de correo, o spoofing, es el envío de un mensaje en el que el remitente que aparece en pantalla no es quien realmente lo envió. Cualquier persona, desde cualquier servidor del mundo, puede escribir el nombre y la dirección de su empresa en el campo de remitente, sin necesidad de vulnerar nada, porque el protocolo que transporta el correo nunca fue diseñado para exigir prueba de identidad. Es la base técnica del phishing y del fraude del falso ejecutivo, y la razón por la que existen SPF, DKIM y DMARC.
Cómo se arma un correo suplantado
Todo mensaje lleva dos remitentes: el del sobre, que los servidores usan para transportarlo, y el del encabezado, que es el que ve la persona. No tienen que coincidir, y en ese margen vive la suplantación.
Elige un nombre que abre puertas
El delincuente selecciona un dominio en el que la víctima confía: su propia empresa, un proveedor, un banco o la dirección de un director. No necesita acceso a ninguno de ellos.
Escribe el remitente a mano
El campo que aparece como remitente es texto libre, completado por quien envía. Nada en el envío verifica si esa dirección pertenece a quien está enviando.
Lo despacha desde cualquier servidor
El mensaje sale de una infraestructura que el delincuente controla, muchas veces alquilada por horas. El servidor de origen no tiene relación alguna con el dominio suplantado.
La víctima ve el nombre, no el camino
El programa de correo muestra el nombre visible en primer plano y esconde el resto. En el celular casi siempre solo aparece el nombre, y la dirección real queda a dos toques de distancia.
Fuente: documentación oficial de Microsoft sobre autenticación de correo, que describe las dos identidades de remitente de todo mensaje (la del sobre, definida en el RFC 5321, y la del encabezado, definida en el RFC 5322), y el material de seguridad de correo de N-able University.
Por qué el correo permite esto desde siempre
- El protocolo de correo nació sin autenticación. En la documentación de Microsoft la frase es literal: por diseño, el correo SMTP en internet no hace ningún esfuerzo por validar que el remitente sea quien dice ser. Fue creado para una red pequeña, donde todos se conocían.
- Existen dos remitentes y solo uno se verifica. El del sobre es el que revisa el SPF; el que la persona lee en pantalla puede ser otro, y es justamente ese el que convence.
- No es una intrusión, es redacción. Suplantar no exige contraseña, vulnerabilidad ni acceso al entorno de la empresa cuyo nombre se está usando. Por eso no deja ningún rastro del lado de quien fue imitado.
- Sin política publicada, quien recibe queda a ciegas. Si el dominio no declara quién puede enviar en su nombre ni qué hacer cuando la verificación falla, cada proveedor decide por su cuenta, y el mensaje falsificado tiende a pasar.
Las cuatro formas de hacerse pasar por su empresa
- Dominio idéntico La dirección que se muestra es exactamente la de la empresa. Es la suplantación pura, la que el DMARC bloquea, y la única que la empresa puede neutralizar por sí sola publicando los registros correctos: todo proveedor que aplica la política empieza a rechazarla.
- Dominio parecido Un dominio real, registrado por el delincuente, que se parece al suyo por una letra cambiada, un guion de más u otra terminación. Como el dominio le pertenece al delincuente, publica una autenticación impecable y aprueba todas las verificaciones.
- Nombre visible La dirección puede ser cualquiera, pero el nombre que aparece es el del director financiero o el de la empresa. Funciona porque el celular muestra el nombre y esconde la dirección.
- Cuenta legítima vulnerada Aquí no hay falsificación: el mensaje sale de verdad del buzón de la persona, con una credencial robada. Aprueba toda la autenticación, y por eso es la más difícil de frenar con registros de DNS.
Qué está en juego cuando usan su nombre
El perjuicio de una suplantación rara vez recae sobre quien recibió el mensaje: recae sobre la empresa cuyo nombre fue usado. Un cliente que paga una factura adulterada creyendo que se la envió su proveedor de siempre le reclama a ese proveedor, no al delincuente. Un empleado que transfiere dinero porque el director lo pidió por correo convierte el nombre del director en instrumento de fraude. Y el efecto acumulado es más silencioso: cada mensaje falsificado que circula en nombre del dominio degrada su reputación ante los proveedores, hasta que el correo legítimo de la empresa, la propuesta comercial y la factura empiezan a caer en spam. Por eso la autenticación dejó de ser un asunto técnico y se volvió una exigencia de mercado: desde 2024 en Gmail y desde 2025 en Microsoft, quien envía en gran volumen a los buzones personales de esos proveedores y no autentica sencillamente no es entregado.
Cómo impedir que suplanten su dominio
No existe un botón para apagar la suplantación, pero sí una secuencia que cierra la puerta del dominio idéntico, que es la forma más peligrosa:
- Inventaríe todo lo que envía en su nombreAntes de publicar cualquier registro, mapee todo lo que envía usando el dominio: el correo corporativo, el sistema de gestión, la herramienta de marketing, el emisor de facturas, el formulario del sitio. Un registro publicado sin ese inventario deja fuera correo legítimo.
- Publique el SPF y cierre la listaDeclare en el DNS qué servidores pueden enviar por el dominio y termine la lista con la instrucción de rechazo. La instrucción débil, que apenas marca la falla, es ignorada por buena parte de los filtros.
- Firme los mensajes con DKIMLa firma criptográfica prueba que el mensaje salió de quien controla el dominio y que nadie alteró el contenido en el camino. Es lo que sostiene la autenticación cuando el mensaje se reenvía sin alteraciones.
- Publique el DMARC y lea los informesEl DMARC es lo que ata los dos registros anteriores al remitente que la persona ve, y lo que devuelve, todos los días, un informe de quién viene enviando en nombre del dominio. Empiece en observación, con los informes llegando a un buzón que alguien realmente lea.
- Suba a bloqueo cuando la medición lo permitaObservar es la mitad del camino, no el destino. Cuando el informe muestre que todo envío legítimo está pasando, cambie la política a cuarentena y después a rechazo. Un dominio detenido en observación sigue siendo suplantable.
En la práctica
Suplantar su dominio no exige entrar en su empresa, y por eso mismo su antivirus y su firewall no ven nada ocurriendo. La defensa contra la suplantación no vive dentro de su entorno: vive en tres registros publicados en el DNS de su dominio, que le dicen al mundo entero qué hacer con un mensaje que se dice suyo y no lo es.
Cómo Zamak trata la suplantación de correo
Zamak Technologies trata la autenticación de dominio como medición, no como formulario: inventario de todo lo que envía, publicación en observación, lectura de los informes y promoción a bloqueo solo con evidencia de que nada legítimo se está perdiendo, junto al equipo que ya cuida el dominio y no en su lugar. La verificación de suplantación de correo muestra, en segundos y sin registro, lo que su dominio declara hoy al resto del mundo. El seguimiento continuo de esa postura forma parte de la Seguridad de Correo Gestionada y de la Ciberseguridad gestionada del Método Zamak.