Qué es exactamente el spoofing de correo

Las tres capas donde el spoofing puede actuar

Un correo tiene varias «direcciones de remitente» distintas, y el spoofing puede apuntar a cada una de forma diferente:

• El sobre SMTP (MAIL FROM) — la dirección técnica utilizada para el enrutamiento, en general invisible para el usuario final.
• La cabecera From: — la dirección mostrada en el cliente de correo, la que la víctima ve y sobre la que basa su confianza.
• El nombre visible (display name) — el nombre en claro («Dirección General», «Atención al Cliente») asociado a la dirección, a veces manipulado con independencia de la dirección en sí para engañar visualmente, incluso cuando la dirección real parece sospechosa para quien se tomara la molestia de leerla.

Un atacante sofisticado puede jugar con estas tres capas a la vez — un sobre técnico coherente, un From: suplantado y un nombre visible tranquilizador — para maximizar la credibilidad del mensaje a ojos de una víctima con prisa que nunca lee la dirección completa.

Lo que el spoofing hace posible

Las consecuencias prácticas del spoofing van mucho más allá del correo aislado y molesto. Es el mecanismo técnico subyacente de la mayoría de los ataques de ingeniería social que transitan por correo:

• El phishing genérico — un correo que dice venir de un banco, de un servicio público o de un proveedor conocido, que empuja a hacer clic en un enlace malicioso.
• El fraude del CEO (BEC) — un correo que parece venir de un directivo, que pide una transferencia urgente y confidencial.
• La suplantación de marca — campañas masivas enviadas en nombre de una empresa, que dañan su reputación y exponen a sus clientes al fraude.

Cada uno de estos escenarios descansa sobre la misma vulnerabilidad de base: nada impedía, históricamente, mentir sobre el remitente.

Cómo DMARC cierra este fallo

DMARC, asociado a SPF y DKIM, ataca directamente este problema. SPF verifica que el servidor de envío está autorizado para el dominio; DKIM verifica que el contenido no se ha modificado en tránsito mediante una firma criptográfica; DMARC vincula ambos al dominio visible del From: y permite al dominio legítimo decir a los destinatarios qué hacer con el correo que falla esa verificación — ignorarlo, enviarlo a spam o rechazarlo pura y simplemente.

Para ver cómo se articulan estas tres piezas, SPF, DKIM y DMARC explicados juntos retoma la mecánica desde la base. El punto clave que hay que retener aquí: un dominio sin DMARC en política de aplicación (p=quarantine o p=reject) sigue siendo técnicamente suplantable, exactamente igual que antes de la existencia del protocolo.

El spoofing continúa incluso con DMARC: lo que no cubre

Hay que ser honesto sobre los límites. DMARC en p=reject impide la suplantación directa del dominio exacto — ya nadie puede enviar un From: alguien@ejemplo.es falsificado que llegue a la bandeja de entrada. Pero no cubre:

• Los dominios parecidos (typosquatting) — ejemp1o.es, ejemplo-seguro.es — que son dominios distintos, cada uno con su propia configuración DMARC potencialmente ausente.
• La manipulación del nombre visible — un atacante puede mostrar «Empresa Ejemplo» sobre una dirección de Gmail cualquiera; DMARC solo se aplica al dominio real de la dirección, no al texto visible que la acompaña.
• Las cuentas legítimas comprometidas — si un atacante obtiene las credenciales de un buzón real, DMARC no tiene nada que objetar: el mensaje sale auténticamente autenticado.

Por eso una protección completa combina DMARC (contra la suplantación directa del dominio) con una vigilancia humana, una formación de los equipos expuestos a transferencias y pagos, y herramientas de detección de dominios parecidos (contra el resto). El tema se desarrolla en protegerse de la suplantación de correo, que cubre el conjunto de los ángulos de ataque más allá del único DMARC.

Cómo saber si un dominio es hoy suplantable

La pregunta se verifica directamente: un dominio sin registro DMARC, o con uno en p=none, es suplantable — cualquiera puede enviar un correo que diga venir de él, y la mayoría de los destinatarios no verá ninguna alerta. Es una prueba binaria y rápida de realizar, sin necesitar ninguna competencia técnica particular — y es la primera pregunta que hay que plantear antes incluso de preguntarse qué política DMARC apuntar.

Publicar un registro en p=none tiene además un segundo beneficio, menos evidente: vuelve medible lo que era invisible. En unos días, los informes agregados que devuelven los destinatarios muestran si alguien intenta realmente suplantar el dominio, desde dónde y en qué volumen. Muchas organizaciones se creen demasiado poco interesantes para ser un objetivo — hasta que la primera semana de informes prueba lo contrario. Esa prueba cuantificada hace a menudo más por desbloquear las prioridades y el presupuesto internos que cualquier advertencia abstracta sobre el riesgo, y da la línea de base que hará falta más tarde, a la hora de decidir si las fuentes legítimas están lo bastante alineadas para endurecer la política.

Un ejemplo concreto, paso a paso

Para hacer tangible la mecánica, esto es lo que ocurre técnicamente cuando un atacante spoofea un correo, descompuesto:

1. El atacante elige su objetivo — pongamos contabilidad@empresa-objetivo.es, una dirección que ha localizado en la web de la empresa o en una firma de correo interceptada en otro lugar.
2. Configura su propio servidor de envío (o usa un servicio de envío masivo mal protegido) para escribir esa dirección en el campo From: del mensaje que se dispone a enviar. Ninguna autorización se pide en esta etapa — es un campo de texto libre.
3. Redacta un mensaje creíble — a menudo retomando el tono y el formato de una comunicación interna real, a veces tras haber estudiado el organigrama de la empresa vía LinkedIn u otras fuentes públicas.
4. El mensaje sale hacia su objetivo real, por ejemplo un contable o un asistente de dirección.
5. El servidor destinatario recibe el mensaje. Sin DMARC en aplicación, no tiene ninguna forma fiable de verificar que el dominio de envío corresponde al dominio autorizado — el mensaje se entrega con normalidad, con la apariencia de un correo interno legítimo.
6. La víctima, al ver una dirección que parece correcta, actúa — hace clic en un enlace, abre un adjunto o, peor, inicia una transferencia a raíz de unas instrucciones que parecen venir de su dirección.

Cada etapa de esta cadena es trivial de ejecutar con herramientas públicas y gratuitas. Es precisamente esa ausencia de barrera técnica lo que explica por qué el spoofing sigue siendo, décadas después de la invención del correo, uno de los vectores de ataque más utilizados — mucho más que un pirateo que exigiría la explotación de un fallo de software raro y costoso de descubrir.

Por qué los atacantes prefieren el spoofing al pirateo

Un punto a menudo subestimado: desde un punto de vista puramente económico, el spoofing es casi siempre más rentable para un atacante que la compromisión real de un sistema. Piratear un servidor de correo exige competencias, tiempo y expone a un riesgo de detección mucho más alto. Spoofear un correo exige un servidor SMTP básico y una lista de direcciones objetivo recopiladas públicamente. El retorno de la inversión para el atacante explica la prevalencia del fenómeno — y, por contraste, por qué la defensa más eficaz no es perseguir a cada atacante individualmente, sino cerrar el fallo estructural que hace posible el ataque a gran escala, que es justo lo que hace DMARC.

En resumen

El spoofing de correo no es un fallo de seguridad reciente ni un exploit sofisticado — es una consecuencia directa del diseño de un protocolo de varias décadas de antigüedad, que nunca integró una verificación de identidad nativa. DMARC, apoyándose en SPF y DKIM, cierra ese fallo para la suplantación directa del dominio — la forma más creíble y más dañina, ya que utiliza la identidad exacta de la organización en lugar de una imitación aproximada que la víctima podría detectar de un vistazo.

Para saber si un dominio es hoy suplantable, un paso por el analizador DMARC gratuito basta — una prueba directa y sin ambigüedad, que dice en unos segundos si la puerta está abierta o cerrada — y, si lo está, cuál es el primer paso concreto para volver a cerrarla.