Suplantación de identidad en el correo electrónico: qué es y cómo evitarla

Introducción

Un cliente te reenvía una factura «de tu departamento de administración». Tú no la has enviado. El remitente muestra tu dominio real, la firma lleva tu logo y el IBAN es de otra persona.

Eso es la suplantación de identidad en el correo electrónico, lo que en inglés se llama email spoofing: falsificar el remitente de un mensaje para que parezca que lo envía quien no lo ha enviado. Es el mecanismo que hay detrás de casi todo el phishing, el fraude de facturas y el fraude del CEO.

En esta guía verás cómo funciona, cómo reconocer un correo suplantado y qué impide de verdad que alguien use tu dominio.

Qué es la suplantación de identidad por correo

Consiste en enviar un mensaje con una identidad de remitente falsa. Lo que se falsifica casi siempre es la dirección From, la que ve el destinatario en su cliente de correo.

Funciona porque SMTP, el protocolo base del correo, se diseñó sin verificar al remitente. Un servidor puede poner cualquier dirección en la cabecera From y SMTP no lo comprueba.

Un correo suplantado puede decir que viene de:

• Tu propio dominio, dirigido a tus clientes o a tu equipo
• Un banco, un proveedor o una empresa de mensajería en la que confía el destinatario
• Un compañero, normalmente alguien con cargo que puede pedir un pago

Suplantar no es lo mismo que robar una cuenta. En la suplantación, el atacante nunca entra en el buzón real. Solo hace que el mensaje lo parezca.

Cómo funciona: dos direcciones de remitente

Todo correo tiene dos direcciones de remitente, y los atacantes se aprovechan de la diferencia entre ambas.

Dirección	Dónde está	Quién la ve
Remitente del sobre (MAIL FROM, Return-Path)	Conversación SMTP	Solo los servidores; los rebotes van aquí
From de la cabecera	Cabeceras del mensaje	El destinatario, en su cliente de correo

Así se ven las cabeceras de un correo suplantado típico:

Return-Path: <bounce-7731@mailer.example.net>
From: "Example Administración" <administracion@example.com>
Reply-To: pagos@example-facturas.net
Subject: Nuevos datos bancarios para la factura 4471

El destinatario ve administracion@example.com. La dirección de rebote es del servidor del atacante, y el Reply-To manda cualquier respuesta a un tercer dominio que también controla.

Los tipos principales

Suplantación del dominio exacto. El remitente usa tu dominio real: direccion@example.com. Es el tipo que SPF, DKIM y DMARC están pensados para frenar.

Suplantación del nombre visible. La dirección es de un buzón gratuito o de un dominio cualquiera, pero el nombre dice lo que le interesa al atacante: "Director General Example" <direccion.example@gmail.com>. Muchos clientes móviles solo muestran el nombre, así que funciona bien.

Dominios parecidos. El atacante registra un dominio que se parece al tuyo: examp1e.com, example-facturas.com o exarnple.com. Es un dominio real y puede pasar la autenticación, porque es suyo.

Secuestro del Reply-To. El remitente puede ser incluso legítimo o no tener relación; el truco está en un Reply-To que desvía la conversación hacia el atacante.

Cómo detectar un correo suplantado

El contenido da pistas: urgencia, cambio de cuenta bancaria, petición de discreción. Pero la prueba fiable está en las cabeceras.

Abre el mensaje original («Mostrar original» en Gmail, «Ver origen del mensaje» en Outlook) y busca la cabecera Authentication-Results:

Authentication-Results: mx.example.org;
  spf=fail (sender IP is 198.51.100.23) smtp.mailfrom=example.com;
  dkim=none;
  dmarc=fail action=none header.from=example.com

El mensaje dice venir de example.com, pero:

• SPF falla: la IP de envío no está autorizada por example.com
• No hay DKIM: no existe firma de example.com
• DMARC falla, y la acción es none porque el dominio solo publica p=none, así que el receptor lo entregó igualmente

Otras señales que conviene mirar:

• El dominio del Return-Path no tiene nada que ver con el del From
• El Reply-To apunta a otro dominio
• La primera cabecera Received muestra un servidor o un país que tú no usas

Puedes pegar las cabeceras completas en el analizador de cabeceras para ver los resultados de SPF, DKIM y DMARC y el recorrido del mensaje sin leerlas línea a línea.

Cómo evitar que suplanten tu dominio

No puedes impedir que alguien escriba tu dirección en el campo From. Lo que sí puedes es conseguir que los servidores receptores reconozcan el mensaje como falso y no lo entreguen. Para eso hacen falta tres registros DNS trabajando juntos.

1. SPF: autoriza tus servidores de envío

SPF enumera los servidores que pueden enviar correo en nombre de tu dominio:

example.com.  TXT  "v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all"

Por sí solo, SPF protege poco contra la suplantación: comprueba el remitente del sobre (Return-Path), no el From que ve la gente. Un atacante puede pasar SPF con su propio dominio en el Return-Path y seguir mostrando el tuyo en el From.

La sintaxis y cada mecanismo están en Registro SPF: sintaxis explicada con ejemplos.

2. DKIM: firma tus mensajes

DKIM añade una firma criptográfica a cada mensaje, que se verifica con una clave pública publicada en tu DNS. Sin tu clave privada, un atacante no puede generar una firma válida con d=example.com.

Tienes el formato del registro y cómo comprobarlo en Qué es un registro DKIM.

3. DMARC: lo ata todo al remitente visible

DMARC es la pieza que cierra el hueco. Exige que SPF o DKIM pasen y estén alineados con el dominio del From visible, y dice a los receptores qué hacer cuando no es así:

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; rua=mailto:informes-dmarc@example.com"

Con p=reject, un mensaje que dice venir de example.com y no pasa ni SPF ni DKIM alineados se rechaza. Eso es lo que frena la suplantación del dominio exacto.

No saltes directamente a p=reject. Empieza con p=none, usa los informes agregados para localizar todos los remitentes legítimos, corrígelos y después sube. El plan para pasar de p=none a p=reject explica qué revisar antes de cada paso, y en Ejemplos de registros DMARC tienes registros listos para adaptar.

4. Protege los dominios que no envían correo

A los atacantes les gustan los dominios aparcados o sin uso, porque nadie los vigila. Si un dominio no envía correo, publica registros que lo digan:

example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject;"
example.net.          MX   0 .

La última línea es un MX nulo (RFC 7505): indica que el dominio tampoco acepta correo.

Para los subdominios que no existen en DNS, el RFC 9989 añade la etiqueta np. Con np=reject en tu registro DMARC principal cubres nombres como facturacion.example.com que un atacante podría inventarse.

5. Lee tus informes DMARC

Los informes agregados muestran cada IP que ha enviado correo con tu dominio y si ha pasado la autenticación. Así detectas las campañas de suplantación contra tu dominio y, antes de aplicar la política, los remitentes legítimos que habías olvidado.

En Cómo leer los informes DMARC tienes el XML explicado.

Lo que DMARC no frena

DMARC es la herramienta adecuada contra la suplantación del dominio exacto, pero no es un sistema antiphishing completo. No cubre:

• Dominios parecidos. examp1e.com tiene su propio DNS y puede pasar su propio DMARC. Registra las variantes evidentes de tu dominio y vigila las nuevas.
• Suplantación del nombre visible. La dirección no es tuya, así que nadie consulta tu registro DMARC. Aquí ayudan los filtros del receptor y los avisos de «remitente externo».
• Cuentas comprometidas. El correo enviado desde un buzón real pasa la autenticación. La defensa es la autenticación en dos pasos y la vigilancia de los inicios de sesión.

Pide a quien gestiona los pagos que confirme cualquier cambio de cuenta bancaria por teléfono, con un número que ya tenga y no con el que aparece en el correo.

«Están suplantando mi correo»: qué hacer

Si te llegan rebotes de mensajes que no has enviado, o tus clientes reciben correos de tu dominio que no has escrito:

1. Descarta una cuenta comprometida. Revisa los registros de inicio de sesión y activa la autenticación en dos pasos. Si el correo aparece en una carpeta de Enviados real, no es suplantación.
2. Revisa tus registros actuales. Pasa la puntuación del dominio o el verificador de DMARC para ver qué publicas hoy.
3. Publica DMARC si no lo tienes, con p=none y una dirección rua, para empezar a recoger datos.
4. Identifica tus remitentes legítimos en los informes y asegúrate de que cada uno pasa SPF o DKIM con alineación.
5. Sube a p=quarantine y después a p=reject. Desde ese momento, los receptores que aplican DMARC rechazan el correo falso.

Los rebotes pueden tardar unos días en desaparecer: los spammers siguen enviando hasta que notan que el correo ya no llega.

Lista de comprobación

• SPF incluye todos los servicios que envían como tu dominio
• Todos los servicios firman con DKIM usando tu dominio (d=example.com)
• DMARC está publicado con una dirección rua y lees los informes
• La política DMARC está en p=quarantine o p=reject, con np=reject
• Los dominios que no envían publican v=spf1 -all y p=reject
• El equipo verifica los cambios de pago fuera del correo

Siguientes pasos

1. Mira qué publica hoy tu dominio: Puntuación del dominio →
2. Crea un registro DMARC: Generador de DMARC →
3. Analiza un correo sospechoso: Analizador de cabeceras →
4. Descubre quién envía como tu dominio: Empieza gratis → — DMARC Examiner convierte los informes agregados en una lista de orígenes de envío, para que distingas tus servicios de la suplantación antes de aplicar la política.

---

Artículos relacionados:

• Qué es DMARC: guía sencilla
• SPF, DKIM y DMARC: la guía completa
• Políticas DMARC explicadas: none, quarantine y reject