Te llega un correo que parece tuyo, enviado desde tu propia dirección. O un cliente te llama enfadado por un mensaje que tú nunca mandaste. No te han robado la cuenta: te han suplantado el remitente. Es más fácil de lo que imaginas, y también más fácil de frenar.
Qué es, sin tecnicismos
El correo electrónico se diseñó hace cuarenta años, cuando en internet se conocían todos. Por eso el remitente de un correo funciona como el remite de un sobre de papel: lo escribe quien envía, y nadie comprueba que sea verdad. Cualquiera puede poner tu dirección ahí.
A eso se le llama spoofing (suplantación). El atacante no ha entrado en tu buzón, no tiene tu contraseña y no ha tocado tu servidor. Solo ha escrito tu nombre en el remite.
- Fraude del jefe: un correo con la dirección del gerente pide a administración que pague una factura urgente a una cuenta nueva. Es el que más dinero se lleva.
- Cambio de número de cuenta: escriben a tus clientes haciéndose pasar por ti, diciendo que habéis cambiado de banco.
- Extorsión: te mandan un correo desde tu propia dirección diciendo que han hackeado tu ordenador. No es verdad, es el mismo truco del remite.
- Daño a tu reputación: si se manda spam en tu nombre, los buzones del mundo empiezan a desconfiar de tu dominio. Y luego tus correos de verdad acaban en la carpeta de no deseado.
Cómo saber si te han suplantado o si de verdad han entrado
Es la primera pregunta que hay que responder, porque la respuesta cambia todo lo que viene después.
| Señal | Suplantación | Cuenta comprometida |
|---|---|---|
| El correo aparece en tu carpeta de enviados | No | Sí |
| Hay accesos raros en el registro del servidor | No | Sí |
| Te llegan rebotes de correos que no mandaste | Sí, muy típico | También |
| El correo llega a ti, con tu dirección, pero sin rastro de envío | Sí | No |
Si aparece en enviados o ves accesos extraños, cambia la contraseña ya y avísanos. Eso no es suplantación, es una cuenta reventada y hay que cerrarla rápido.
Las tres cerraduras que lo frenan
No se puede impedir que alguien escriba tu dirección en un remite. Lo que sí se puede es que los buzones del mundo lo detecten y lo tiren a la basura. Para eso existen tres ajustes en tu dominio. Van juntos.
| Ajuste | Qué hace, en llano |
|---|---|
| SPF | La lista de quién tiene permiso para mandar correo en tu nombre. Si el envío viene de otro sitio, cantará. |
| DKIM | Una firma invisible en cada correo que sale de verdad de tu servidor. Si no está o no cuadra, el mensaje es falso. |
| DMARC | La instrucción de qué hacer con los que fallan lo anterior: dejarlos pasar, mandarlos a spam o rechazarlos. Y te manda informes de quién lo intenta. |
La mayoría de dominios tienen SPF puesto y ahí se quedaron. Sin DMARC, SPF sirve de poco: detecta el fraude pero no le dice a nadie qué hacer con él, así que el correo falso entra igual. Las tres cerraduras o ninguna.
Y hay una cuarta pieza: tu gente
Con las tres cerraduras bien puestas, la suplantación exacta de tu dominio deja de funcionar. Entonces los atacantes cambian de táctica y usan dominios parecidos, que no puedes bloquear porque no son tuyos:
tuempresa.coen lugar detuempresa.comtu-empresa.comcon un guion de mástuernpresa.comcon "rn" donde iba una "m"- El nombre correcto en el remitente visible, pero una dirección de Gmail detrás
Contra eso no hay ajuste técnico que valga. Hay una norma interna, y es esta:
- Ningún cambio de número de cuenta se acepta por correo. Se confirma por teléfono, a un número que ya tenías apuntado, nunca al que viene en el mensaje.
- Los pagos urgentes fuera de lo normal se verifican con una segunda persona.
- Ante prisa, secreto o presión, sospecha. Son las tres señales del fraude.
- Enséñale a tu equipo a mirar la dirección completa del remitente, no el nombre que se ve.
Qué hacer si ya ha pasado
- No respondas al correo ni pulses ningún enlace.
- Comprueba si es suplantación o cuenta comprometida, con la tabla de arriba.
- Si hubo transferencia, llama al banco inmediatamente. Las primeras horas son las que cuentan.
- Avisa a tus clientes o a tu equipo de que circula un correo falso en tu nombre. Corta la cadena.
- Guarda el correo entero, sin reenviarlo suelto. Hace falta para investigar de dónde salió.
- Revisa las tres cerraduras del dominio, que es lo que evita la siguiente.
Si tu correo o tu dominio los llevamos nosotros
SPF, DKIM y DMARC te los dejamos puestos y comprobados, sin que tengas que saber qué son. Y no es "ponerlos y olvidarse": si mañana empiezas a enviar desde una herramienta de boletines o desde un CRM nuevo, esos permisos hay que actualizarlos o tus propios correos dejarán de llegar. De eso nos ocupamos nosotros.
Si has recibido un correo raro y no sabes qué es, reenvíanoslo y te decimos qué ha pasado. Sin humo.
Preguntas frecuentes
¿Me han hackeado si recibo un correo mío desde mi propia dirección?
Casi nunca. Es el truco del remite, y no hace falta entrar en ninguna cuenta para hacerlo. Compruébalo con la tabla de más arriba: si el mensaje no está en tu carpeta de enviados y no hay accesos raros, es suplantación.
Me piden dinero diciendo que tienen vídeos míos. ¿Qué hago?
Nada. Es un correo en cadena que se manda a millones de direcciones con este mismo truco. No tienen nada, no han entrado en tu ordenador y no van a mandar nada. No pagues, no respondas y bórralo. Si además incluye una contraseña tuya real, esa contraseña salió de alguna filtración antigua: cámbiala donde la sigas usando.
¿Se puede impedir del todo que usen mi dominio?
Impedir que lo escriban, no. Lo que sí se consigue con SPF, DKIM y DMARC bien puestos es que esos correos no lleguen a la bandeja de entrada de nadie. Es la diferencia entre un fraude que funciona y uno que muere en la carpeta de no deseado.
¿Poner DMARC puede hacer que mis propios correos dejen de llegar?
Sí, y por eso no se pone de golpe en modo estricto. Se empieza en modo observación, se miran los informes unas semanas para ver desde dónde se envía de verdad en tu nombre (tu servidor, tu herramienta de boletines, tu CRM, tu tienda) y solo entonces se aprieta. Hacerlo al revés es la forma más rápida de dejar tu empresa incomunicada.
¿Cada cuánto hay que revisar esto?
Cuando cambies algo que envíe correo. Contratas una herramienta de boletines nueva, cambias de CRM, montas una tienda, te mudas de servidor: en todos esos casos hay que actualizar los permisos o tus envíos empezarán a rebotar.
Han suplantado a un proveedor mío y casi pago. ¿Es culpa de mi correo?
No. Si suplantan el dominio de otro, la protección tiene que ponerla ese otro. Lo único que puedes hacer tú es la norma de no cambiar nunca un número de cuenta sin confirmarlo por teléfono. Esa norma sencilla frena el fraude que más dinero se lleva.
- Por qué hay correos falsos usando @midominio.com, el mismo problema visto desde los rebotes.
- Buenas prácticas antispam, cuando el problema lo tienes al enviar.
- Qué hacer cuando recibes spam.
¿Miramos si tu dominio está protegido?
Te revisamos las tres cerraduras de tu correo y te decimos qué falta y qué riesgo tienes hoy. Sea tuyo el hosting o de otro. Sin compromiso.
Cuéntanoslo