DMARC para la sanidad: un sector muy suplantado y a menudo mal protegido

Qué muestran los datos

También aquí la constatación es medible, no anecdótica. Nuestro Observatorio DMARC sigue la postura pública de dominios del sector sanitario, clasificados en protegidos (p=reject), en aplicación de la política (p=quarantine), en observación únicamente (p=none) o sin proteger. El resultado recurrente coincide con el del sector público y con el de las finanzas: una parte notable de centros que se frecuentan a diario no aplican la política, y dejan expuesto su dominio de cara al público.

Como en otros ámbitos, el truco está en comprobar el dominio que los pacientes ven realmente en su bandeja de entrada —el de las citaciones y los resultados— y no solo el portal institucional del centro.

Esta brecha tiene un coste social particular en la sanidad: un paciente víctima de phishing en nombre de su hospital no solo pierde dinero o credenciales, sino que pierde la confianza en un canal del que a veces depende su atención. Una cita perdida porque una citación real se confundió con un fraude, un resultado consultado en una página falsa: las consecuencias superan el perjuicio económico habitual. Es precisamente porque el correo sanitario conlleva implicaciones asistenciales, y no solo económicas, por lo que asegurar el dominio legítimo importa aún más que en otros sectores.

NIS2 y el sector sanitario

La sanidad figura explícitamente entre los sectores cubiertos por la directiva NIS2, que impone medidas de gestión de riesgos cibernéticos y compromete la responsabilidad de los directivos. Para un centro afectado, la autenticación del correo —control anti-suplantación evidente, auditable y de bajo coste— es uno de los primeros puntos que examinará una inspección. Lo que era una buena práctica se convierte en una obligación, doblada de una protección real para los pacientes.

El reto de los recursos

La sanidad comparte con el sector público una dificultad estructural: unos recursos de ciberseguridad a menudo insuficientes frente a la exposición. Los hospitales públicos funcionan bajo restricción presupuestaria, los laboratorios y las consultas no tienen equipo de seguridad, y el parque de aplicaciones está fragmentado entre numerosos proveedores. La seguridad de la mensajería rara vez es el tema prioritario allí, hasta que llega el incidente.

Es precisamente en este contexto donde una herramienta que automatiza el diagnóstico y guía la remediación marca la diferencia: reduce un proyecto que parecería inabordable a una serie de decisiones sencillas, que puede asumir un proveedor o un pequeño equipo informático.

Un escenario concreto: el falso resultado de análisis

Descompongamos un ataque típico del sector. Un laboratorio de análisis ha dejado su dominio de cara al público en p=none. Un atacante envía a los pacientes un correo que muestra la dirección auténtica del laboratorio: unos resultados ya disponibles, a consultar accediendo al área personal, con un enlace a una página de recogida de credenciales que imita el portal. La carga emocional —un resultado médico pendiente— desactiva la desconfianza aún más eficazmente que un pretexto financiero. Los pacientes introducen sus credenciales, a veces datos de salud, en una página controlada por el atacante.

Para el laboratorio, es una violación de datos sensibles que implica su propio dominio, con probable obligación de notificación y un daño duradero a la confianza de los pacientes. El mismo correo, con el dominio en p=reject, habría sido rechazado en la entrega, sin llegar jamás a una bandeja. En un sector donde el dato está especialmente protegido y la confianza es especialmente frágil, este cambio de política no es un detalle técnico: es una medida de protección de los pacientes.

Centros, laboratorios, mutuas: perfiles distintos

«La sanidad» abarca actores con realidades muy diferentes, y el enfoque se adapta a cada uno:

• Los centros hospitalarios acumulan un parque de aplicaciones enorme (historia clínica, gestión de citas, resultados, facturación) y una fuerte restricción presupuestaria. El reto está sobre todo en el mapeo exhaustivo de las fuentes de envío antes de cualquier endurecimiento.
• Los laboratorios y las consultas envían masivamente resultados y citaciones, a menudo a través de una o dos aplicaciones de gestión. El parque es más simple, la puesta en conformidad más rápida, pero la exposición por mensaje es elevada.
• Las mutuas y los seguros de salud complementarios manejan reembolsos y datos contractuales; su perfil se acerca al de las finanzas, con un fuerte volumen transaccional y un motivo de fraude financiero directo.

Identificar el perfil propio ayuda a calibrar el esfuerzo: una consulta no necesita el mismo dispositivo que un gran hospital, pero ambos necesitan un dominio que aplique la política.

Seguridad de los sistemas de salud: un marco ya exigente

El sector sanitario opera ya bajo exigencias de seguridad reforzadas: alojamiento certificado de los datos de salud, políticas de seguridad de los sistemas de información sanitarios, obligaciones sectoriales. La autenticación del correo encaja ahí de forma natural como una medida esperada: protege un canal por el que transitan citaciones, resultados e intercambios con los pacientes, y produce la prueba auditable que alimenta esos marcos. Lejos de ser un proyecto más, DMARC es una pieza que sirve a varias obligaciones a la vez: seguridad de los tratamientos en el sentido del RGPD, resiliencia en el sentido de NIS2 y buena higiene esperada por los marcos propios de la sanidad.

El reto de la sensibilización de los pacientes

Hay un límite que la técnica por sí sola no cruza: DMARC protege el dominio exacto, pero no los dominios parecidos que un atacante registraría para imitar al centro. Por eso la protección del dominio gana si se acompaña de un mensaje claro a los pacientes: recordar, en los soportes oficiales, la dirección legítima y los canales por los que el centro se comunica realmente. Esta pedagogía no sustituye a la autenticación: la complementa. Un dominio en p=reject elimina la falsificación directa, la más peligrosa por ser la más creíble; la sensibilización reduce el margen de las variantes que la técnica no cubre. Ambas capas, juntas, forman una defensa mucho más robusta que cualquiera de ellas por separado.

Los pasos a seguir

1. Diagnosticar el dominio con un analizador DMARC gratuito para conocer el punto de partida, sin instalar nada.
2. Publicar DMARC en p=none y aprovechar los informes agregados para mapear todas las fuentes de envío: aplicaciones de gestión, plataformas de citas, proveedores de resultados.
3. Alinear cada fuente legítima en SPF y DKIM.
4. Subir de política hacia quarantine y luego reject, vigilando los informes (el método).
5. Bloquear los subdominios inactivos con la etiqueta np de DMARCbis, con un riesgo casi nulo.

Comprobar el dominio de un centro

El primer paso es gratuito e inmediato. Basta con pasar el dominio desde el que los pacientes reciben sus correos por nuestro análisis DMARC gratuito para obtener un veredicto instantáneo, o comparar la postura del sector en el Observatorio DMARC.

Llevar un parque sanitario multidominio a p=reject sin un equipo dedicado es exactamente lo que Thomas, el CISO virtual, hace accesible: nombra cada fuente de envío, genera el DNS preciso que hay que publicar, evalúa la preparación por dominio e indica cuándo se puede aplicar cada uno sin riesgo para el correo legítimo. Analizar un dominio gratis · explorar el Observatorio · empezar con Thomas.