ESET alerta sobre el spoofing de correo electrónico: cómo detectar mensajes que falsifican remitentes

La empresa de ciberseguridad advierte que los delincuentes utilizan inteligencia artificial para perfeccionar los fraudes y recomienda reforzar la autenticación de los dominios y la protección de los mensajes entrantes.

La falsificación de remitentes en correos electrónicos, conocida como email spoofing, continúa siendo una de las técnicas utilizadas por los ciberdelincuentes para suplantar la identidad de empresas y organizaciones legítimas. Esta práctica permite que un mensaje parezca provenir de una fuente confiable, aumentando las posibilidades de que el destinatario lo abra y siga sus instrucciones.

ESET Latinoamérica, compañía especializada en detección proactiva de amenazas, advierte que estos ataques suelen formar parte de campañas de phishing, fraude financiero, robo de credenciales y distribución de programas maliciosos.

Los mensajes pueden incluir enlaces a páginas fraudulentas, archivos adjuntos peligrosos o solicitudes engañosas para conseguir información confidencial y provocar acciones que comprometan la seguridad de usuarios y organizaciones.

El impacto también alcanza a las empresas cuya identidad es utilizada sin autorización. Entre las consecuencias figuran daños a su reputación, pérdida de confianza de clientes y socios comerciales, y mayores riesgos operativos. La falta de medidas de protección puede generar, además, cuestionamientos sobre el cumplimiento normativo y la gestión de la seguridad de la información.

La inteligencia artificial hace más sofisticados los correos fraudulentos

Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, explicó que las herramientas de inteligencia artificial están facilitando la creación de campañas de phishing más elaboradas y personalizadas.

“Los avances de la inteligencia artificial han facilitado la creación de campañas de phishing más sofisticadas. Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas”, señaló.

Esta capacidad dificulta que los usuarios identifiquen los intentos de fraude, ya que los mensajes pueden reproducir con mayor precisión la apariencia y el lenguaje de las comunicaciones empresariales habituales.

Cómo funciona la falsificación del remitente

ESET explica que los correos electrónicos contienen dos direcciones de remitente diferentes, una característica que los atacantes aprovechan para falsificar la identidad del emisor.

• Remitente del sobre (MAIL FROM): es la dirección que utilizan los servidores de correo para enrutar los mensajes y gestionar las notificaciones de rebote. Generalmente, no aparece en la bandeja de entrada del destinatario.
• Encabezado From: es la dirección que el usuario ve como remitente del mensaje. Se trata de un campo dentro del correo electrónico que, por sí solo, no demuestra que el servidor emisor esté autorizado para utilizar ese dominio.

Esta diferencia permite que un atacante configure el encabezado visible con una dirección aparentemente legítima, como facturacion@tuempresa.com, y envíe el mensaje desde un servidor que no tiene relación con esa organización.

Según Micucci, para realizar esta falsificación no siempre es necesario vulnerar sistemas, acceder a cuentas de correo o robar contraseñas. En muchos casos, basta con construir el mensaje utilizando información falsa del remitente y enviarlo a un servidor que lo acepte.

Señales que pueden revelar un correo falsificado

Las organizaciones suelen descubrir que sus dominios están siendo utilizados de manera indebida a través de mensajes de rebote de correos que nunca enviaron, reclamaciones de clientes por facturas fraudulentas o una disminución repentina en la entrega de sus comunicaciones.

Aunque un mensaje falsificado puede parecer legítimo en la bandeja de entrada, la revisión de sus encabezados permite encontrar señales que ayudan a determinar si fue autenticado.

ESET recomienda prestar atención a los siguientes indicadores:

• Resultados SPF, DKIM y DMARC: cuando estos mecanismos muestran un resultado fail, puede significar que el mensaje no superó las verificaciones de autenticación correspondientes.
• Diferencias entre Return-Path y From: una dirección de retorno distinta del remitente visible puede ser una señal de alerta, aunque también ocurre en algunos servicios legítimos de envío masivo.
• Encabezados Received: si muestran una infraestructura de envío sin relación con la organización que supuestamente envió el mensaje, conviene investigar su procedencia.

En Gmail, los usuarios pueden revisar esta información abriendo el correo, seleccionando el menú de tres puntos y haciendo clic en “Mostrar original”.

En Outlook, pueden acceder a Archivo > Propiedades > Encabezados de Internet y localizar la línea Authentication-Results.

SPF, DKIM y DMARC: mecanismos para proteger los dominios

Para reducir la posibilidad de que terceros utilicen indebidamente sus dominios, las organizaciones pueden implementar mecanismos de autenticación ampliamente adoptados:

• SPF (Sender Policy Framework): permite especificar qué servidores están autorizados para enviar correos en nombre de un dominio.
• DKIM (DomainKeys Identified Mail): incorpora una firma digital que ayuda a verificar la autenticidad y la integridad del mensaje.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): establece cómo deben actuar los servidores receptores cuando los mensajes no superan las verificaciones SPF o DKIM, además de proporcionar informes sobre el uso del dominio.
• BIMI (Brand Indicators for Message Identification): permite mostrar el logotipo de una organización junto a sus correos electrónicos cuando se cumplen los requisitos de autenticación correspondientes.

Micucci recomienda utilizar los informes agregados de DMARC para identificar los servidores que envían mensajes utilizando un dominio empresarial.

“Si tu propio dominio está siendo falsificado, los informes agregados de DMARC son la forma más rápida de confirmar el problema e identificar qué servidores están enviando mensajes utilizando tu dominio. Configurar DMARC en modo de monitoreo es el primer paso práctico”, aconsejó.

La protección también debe cubrir los correos recibidos

El investigador advirtió que autenticar los dominios propios no es suficiente para proteger a los empleados frente a mensajes fraudulentos provenientes de terceros.

Los correos pueden llegar desde dominios de proveedores o socios comerciales con mecanismos de autenticación débiles, así como desde direcciones similares a las legítimas que fueron registradas específicamente para engañar a los destinatarios.

Por ello, ESET recomienda complementar la autenticación con otras medidas de seguridad:

1. Filtrado de correos electrónicos: utilizar soluciones en servidores locales o servicios en la nube que validen SPF, DKIM y DMARC al recibir los mensajes y pongan en cuarentena aquellos que no superen las verificaciones.
2. Detección de dominios similares: identificar direcciones creadas para imitar dominios legítimos y casos de suplantación mediante el nombre visible del remitente (display name spoofing).
3. Análisis de enlaces y archivos adjuntos: examinar las URL y los documentos recibidos, debido a que la falsificación del remitente suele ser el mecanismo utilizado para entregar contenido malicioso.

La tecnología debe acompañarse de educación digital

Micucci destacó que las herramientas de protección deben combinarse con la capacitación de los empleados y la concientización de los usuarios sobre los riesgos de los correos electrónicos fraudulentos.

El investigador señaló que soluciones como ESET Mail Security y ESET Cloud Office Security aplican verificaciones a los mensajes recibidos en servidores locales y entornos de Microsoft 365 y Google Workspace. Estas herramientas integran validación de autenticación, protección contra phishing, antispam y análisis de archivos adjuntos.

Sin embargo, advirtió que la tecnología por sí sola no garantiza la seguridad.

La identificación de señales sospechosas, la comprensión de los riesgos y la adopción de hábitos digitales responsables siguen siendo elementos esenciales para proteger a las empresas, sus empleados y sus clientes frente a los intentos de suplantación.