DORA y el correo electrónico: qué espera el reglamento de la autenticación de email

DMARC en el marco de DORA

DMARC responde a varias exigencias de DORA a la vez, lo que lo convierte en un control de alto efecto palanca:

• Protección (pilar 1). En política de aplicación, DMARC impide la suplantación directa del dominio — una medida de protección concreta y duradera contra un vector de ataque de primer orden.
• Detección (pilar 1). Los informes agregados revelan de forma continua quién emite en nombre del dominio, incluidas fuentes ilegítimas o proveedores olvidados. Es un sensor permanente conectado a la superficie de exposición.
• Gestión de incidentes (pilar 2). El histórico de informes y de la postura documenta la diligencia de la entidad y ayuda a calificar un incidente de suplantación de identidad cuando ocurre.
• Riesgo de terceros (pilar 4). El parque de envío incluye casi siempre proveedores (facturación, extractos, marketing, firma electrónica). Cartografiar y alinear estas fuentes es exactamente el inventario de dependencias que DORA reclama del lado del correo.

Como para toda institución que envía correo en volumen, el razonamiento de fondo es el desarrollado para DMARC en el sector bancario: las marcas financieras son las más suplantadas del mundo, y la aplicación de DMARC es la primera línea de defensa estructural.

La trampa del dominio de consumo

Un punto merece una atención particular para los grupos financieros. Muchos disponen de un dominio corporativo cuidado y protegido — el de los comunicados y las relaciones con inversores — mientras que el dominio de marca de consumo, aquel desde el que los clientes reciben realmente extractos y alertas, va con retraso en p=none. Los atacantes no apuntan al dominio corporativo: apuntan al que los clientes reconocen y en el que confían.

Bajo DORA, esta asimetría es un punto ciego peligroso. En una evaluación de conformidad, la prioridad de verificación es el dominio que los clientes ven en su bandeja de entrada, no solo la matriz. Nuestras páginas de verificación por dominio dan el veredicto del dominio exacto introducido, lo que permite distinguir sin ambigüedad un corporativo protegido de un dominio de consumo expuesto.

La hoja de ruta hacia la conformidad

La secuencia es la de todo gran remitente, ejecutada con el rigor documental que exige DORA:

1. Cartografiar el conjunto del parque de envío, negocio por negocio, región por región, proveedor por proveedor. Publicar DMARC en p=none y explotar los informes para descubrir las fuentes insospechadas.
2. Alinear cada fuente legítima en SPF y DKIM, apuntando a una alineación DKIM duradera.
3. Tratar cada dominio de marca por separado, con prioridad al dominio de consumo.
4. Subir de política hacia quarantine y luego reject, vigilando los informes — el método completo está en llegar a p=reject sin romper el correo legítimo.
5. Documentar y conservar. Archivar informes, decisiones e histórico de postura: es la materia probatoria que DORA exige, y se reutiliza tal cual en un dispositivo ISO 27001.

Cuando un grupo está también sujeto a NIS2 por sus actividades no estrictamente financieras, ambos frentes se llevan como uno solo: la base de autenticación es idéntica, solo cambia el régimen de control, como se detalla en NIS2 y autenticación de email.

Clasificación, notificación y el papel del email

DORA impone clasificar los incidentes relacionados con las TIC y declarar los más graves a las autoridades competentes en plazos cortos, con un informe inicial, un informe intermedio y luego un informe final. Los criterios de gravedad incluyen el número de clientes afectados, la duración del incidente, su extensión geográfica y las pérdidas financieras — todos ellos umbrales que una campaña de suplantación exitosa puede hacer superar rápidamente. Un falso email «de su banco» que sustrae las credenciales de miles de clientes no es un incidente menor: es potencialmente un incidente grave declarable, con toda la carga de notificación, investigación y comunicación que ello implica.

De ahí el interés de un control que actúa en la raíz. Cada mensaje suplantado que DMARC bloquea aguas arriba es un incidente que no ocurre — por tanto, ningún umbral superado, ninguna declaración, ninguna investigación regulatoria. A la inversa, la ausencia de autenticación deja abierta una vía de incidente que habrá que gestionar de forma reactiva, bajo la presión del cronómetro regulatorio. Reducir la frecuencia de los incidentes de suplantación es reducir directamente la carga de notificación DORA — un argumento operativo tanto como de seguridad.

Un escenario concreto

Sirva de ejemplo una gestora de activos de tamaño medio. Un atacante suplanta el dominio de consumo desde el que los clientes reciben sus extractos, que sigue en p=none. Envía a una cartera de clientes un email perfectamente creíble anunciando un «cambio de coordenadas bancarias para los reembolsos», mostrando la dirección auténtica de la sociedad. Algunos clientes siguen la instrucción; hay fondos que se van hacia una cuenta controlada por el atacante.

Desarrollo DORA: el evento probablemente supera los umbrales de gravedad (clientes afectados, pérdidas financieras), lo que desencadena una notificación a las autoridades, una investigación interna, una comunicación de crisis y el examen — inevitable — de la pregunta «¿por qué el dominio era suplantable?». La respuesta «estaba en p=none» es insostenible ante un regulador que espera una resiliencia demostrable. El mismo incidente, con el dominio en p=reject, sencillamente no habría llegado a las bandejas de los clientes: el mensaje falsificado habría sido rechazado en la entrega. Es la diferencia entre un control que se limita a observar y un control que protege.

Este escenario no tiene nada de excepcional; se repite, con algunas variantes, en cuanto un dominio financiero se queda en modo de observación. E ilustra por qué DORA insiste tanto en la demostración: lo que cuenta no es tener un plan, sino poder probar que el control estaba en su sitio, activo y vigilado en el momento de los hechos. Un registro DMARC aplicado, acompañado de su histórico de informes, es precisamente ese tipo de prueba — fechada, pública, infalsificable.

Situar el punto de partida

Como siempre, el primer paso es gratuito e inmediato. El dominio desde el que los clientes reciben realmente correo pasa por nuestro analizador DMARC gratuito para obtener un veredicto instantáneo, y la institución se sitúa después en el Observatorio DMARC, que sigue la postura pública de las grandes marcas financieras en varios países.

Llevar un gran parque regulado a p=reject con un rastro de auditoría aprovechable es precisamente la misión de Thomas, el RSSI virtual: identifica cada fuente de envío, produce el DNS exacto que hay que publicar, evalúa la preparación por dominio sobre datos deslizantes, y avisa de cuándo cada dominio puede aplicarse sin riesgo para el correo legítimo. Análisis DMARC gratuito de un dominio · explorar el Observatorio · empezar con Thomas.