Contenido del artículo
- En resumen
- Ajuste, qué aporta y cómo comprobarlo
- SPF, DKIM y DMARC en palabras sencillas
- Aviso de remitente externo
- Protección de enlaces y adjuntos
- Una regla para contabilidad: la cuenta bancaria se confirma de viva voz
- El botón para avisar
- Simulaciones de phishing: legales y sin culpas
- Checklist de protección del correo
- Preguntas frecuentes
- Referencias
El correo de la empresa se protege del phishing en dos capas: los ajustes técnicos impiden falsificar tu dominio y filtran los mensajes peligrosos, y unas reglas sencillas para las personas frenan lo que se cuela por los filtros. Ninguna capa funciona sola: los filtros dejan pasar parte de los mensajes, y nadie puede examinar a fondo cada correo y además sacar su trabajo adelante. [11]
Abajo tienes qué configurar, cómo comprobar cada punto con herramientas gratuitas, qué regla dar a contabilidad y cómo formar a la gente para que avise de los correos sospechosos en lugar de esconder los errores.
En resumen
- SPF, DKIM y DMARC son tres registros en el DNS (la agenda de direcciones de internet para tu dominio). Impiden que otros servidores envíen correo en nombre de tu dominio. Se ven desde fuera y comprobarlos lleva un minuto.
- DMARC con p=none solo observa. La protección empieza con p=quarantine o p=reject.
- El aviso de remitente externo y la protección de enlaces y adjuntos atrapan parte de lo que se cuela.
- Los ataques más caros a menudo no llevan enlaces ni malware: es un correo que dice «hemos cambiado de cuenta bancaria». Contra eso funciona una regla: la nueva cuenta se confirma con una llamada a un número conocido. [9]
- Un botón para avisar y una reacción tranquila ante los errores importan más que el porcentaje de quienes hicieron clic.
Ajuste, qué aporta y cómo comprobarlo
| Ajuste | Qué aporta | Cómo comprobarlo |
|---|---|---|
| SPF | Lista de servidores autorizados a enviar correo de tu dominio | Un test público del dominio: un solo registro, sin +all, con todos tus servicios de envío |
| DKIM | Firma digital de cada correo: el destinatario ve que es auténtico y que no se alteró por el camino | dkim=pass en las cabeceras de un correo recibido; DKIM activado para tu propio dominio en tu servicio de correo |
| DMARC | Regla que dice a los destinatarios qué hacer con el correo que no pasa las comprobaciones, más informes | El registro _dmarc de tu dominio: p=quarantine o p=reject, una dirección de informes en rua |
| Aviso de remitente externo | La gente ve que el «director» en realidad escribe desde fuera | Envíate un correo desde un buzón personal y busca el aviso |
| Protección de enlaces y adjuntos | Los enlaces se comprueban al hacer clic, los adjuntos antes de la entrega | Las directivas se aplican a todos los buzones, no solo a algunos |
| Regla de verificación de cuentas | Un cambio de cuenta bancaria nunca se acepta solo por correo | Pregunta al contable qué haría con un correo así |
| Botón para avisar | Un correo sospechoso llega a IT en un minuto | Púlsalo en un correo de prueba y mira adónde llega |
| Simulaciones de phishing | Muestran dónde falla el proceso y crean el hábito de avisar | Autorización escrita, escenarios acordados, informe sin nombres |
SPF, DKIM y DMARC en palabras sencillas
Piensa en tu dominio como el papel con membrete y sello de la empresa. SPF es la lista de mensajeros autorizados a llevar tus cartas: si entrega una alguien que no está en la lista, el destinatario lo ve. [1] DKIM es el precinto del sobre: demuestra que tu servidor firmó la carta y que nadie la abrió por el camino. [2] DMARC es la instrucción para las oficinas de correos de los destinatarios: qué hacer con una carta que no trae ni el mensajero correcto ni el precinto, y adónde enviar informes sobre esas cartas. [3]
Sin DMARC cualquiera puede enviar un correo en nombre de tu contable a tus clientes, y algunos servicios de correo lo entregarán. El NCSC aconseja avanzar por etapas: empezar con p=none, leer los informes, configurar SPF y DKIM para cada servicio que envía en tu nombre y después pasar a quarantine y reject. [4] Microsoft describe el mismo camino para los dominios de Microsoft 365. [5]
Cómo comprobarlo tú mismo. Escribe tu dominio en un test público gratuito como internet.nl o MXToolbox. Otra forma: abre cualquier correo enviado desde la empresa a una dirección de Gmail, elige «Mostrar original» y busca la línea con los resultados de spf, dkim y dmarc. Los tres deben decir pass.
Señales de alarma:
- no hay DMARC;
- DMARC lleva años en p=none y nadie lee los informes: es observar sin proteger;
- dos registros SPF distintos en un mismo dominio: según el estándar es un error y la comprobación no funciona; [1]
- DKIM no está activado para tu propio dominio. En Microsoft 365 se hace en el portal de Microsoft Defender: Email & collaboration > Policies & rules > Threat policies > Email authentication settings, pestaña DKIM. [6]
No olvides los dominios desde los que nunca envías correo: nombres antiguos, dominios regionales. Ponles un SPF sin servidores autorizados y DMARC con p=reject, para que los atacantes no los usen. [5]
Aviso de remitente externo
Un caso típico: el «director» escribe desde un buzón personal y pide pagar una factura con urgencia. El nombre es correcto, la firma también, y en el móvil la dirección no se ve. Una etiqueta External junto al correo de fuera muestra enseguida que algo no cuadra.
En Microsoft 365 la activa un administrador con Set-ExternalInOutlook -Enabled $true en Exchange Online PowerShell, y Outlook muestra entonces la etiqueta External. [7] En otros servicios de correo, busca un ajuste para remitentes externos o añade el aviso con una regla de flujo de correo.
Protección de enlaces y adjuntos
Un enlace puede llevar a una página normal en el momento de la entrega y a una de phishing una hora después. Por eso ayuda comprobarlo al hacer clic, no solo al entregarlo. En Microsoft 365 eso lo hace Safe Links, de Microsoft Defender for Office 365. [8] Los adjuntos los revisa Safe Attachments: abre el archivo en un entorno aislado (un sandbox) antes de entregarlo.
Qué comprobar: las directivas se aplican a todos los buzones, no a un grupo de prueba; los tipos de adjunto peligrosos (ejecutables, scripts, imágenes de disco) se bloquean; los usuarios no pueden sacar correo de la cuarentena por su cuenta sin revisión de IT.
Una regla para contabilidad: la cuenta bancaria se confirma de viva voz
El phishing más caro a menudo no lleva enlaces ni adjuntos. Llega un correo de un proveedor, a veces desde su buzón real pero comprometido: «tenemos una cuenta nueva, pagad a esta, por favor». Los filtros no pueden hacer nada, porque el correo parece uno más. El FBI aconseja expresamente verificar los cambios de datos de pago por otro canal. [9]
Da a contabilidad una regla escrita y sencilla:
- Todo cambio de cuenta bancaria o pago «urgente» a un destinatario nuevo se confirma por teléfono.
- El número sale del contrato o de la ficha del proveedor, nunca del correo ni de su firma.
- Un pago por encima de un importe acordado lo aprueba una segunda persona.
- El contable puede retener un pago para comprobarlo, aunque «el director insista», y nunca se le castiga por ello.
El último punto es el más importante. Los atacantes presionan con prisa y autoridad, y la regla solo funciona si la gente no tiene miedo de aplicarla.
El botón para avisar
Quien ve un correo raro debe poder avisar con un clic. Outlook tiene un botón Report integrado, y en el portal de Microsoft Defender la página User reported settings indica el buzón al que llegan esos avisos. [10] Gmail tiene la opción «Notificar phishing».
Lo que cuenta es lo que pasa después. Cada aviso recibe respuesta: «gracias, este es seguro» o «gracias, lo hemos quitado a todos». Si los avisos desaparecen sin respuesta, la gente deja de avisar enseguida.
Simulaciones de phishing: legales y sin culpas
Una simulación de phishing es un correo de phishing de entrenamiento que la empresa envía a su propia gente para ver dónde falla el proceso. El NCSC lo advierte sin rodeos: ninguna formación enseña a detectar todos los correos de phishing, castigar los clics no funciona y crea riesgos legales, así que las simulaciones deben acordarse con RR. HH. [11]
Cómo hacerlo bien:
- Autorización escrita de la dirección con la lista de personas, escenarios y fechas. RR. HH. lo sabe de antemano.
- Sin contraseñas reales. Una buena simulación registra solo que se escribió algo y no guarda la contraseña.
- Un informe sin nombres para la dirección: por departamento y rol, no una lista de «quién picó».
- Un repaso como formación: después, la gente ve qué debería haber notado.
- La métrica principal es cuántas personas avisaron y con qué rapidez, no solo cuántas hicieron clic.
Así hacemos las simulaciones de phishing en Veiltrack: los escenarios se acuerdan antes, los resultados son agregados y el objetivo son los procesos y el aprendizaje, no buscar culpables.
Si el correo ya está bien configurado y la pregunta es qué más se ve y se alcanza desde internet, eso ya es trabajo para un pentest o una revisión de cuentas y nube.
Checklist de protección del correo
Descargar la lista de preparación (PDF)PDF · A4
Preguntas frecuentes
¿Qué son SPF, DKIM y DMARC en una frase?
SPF dice qué servidores pueden enviar correo de tu dominio, DKIM firma cada correo y DMARC dice a los destinatarios qué hacer con el correo que no pasa esas comprobaciones.
¿Podemos poner DMARC en p=reject desde el principio?
Se puede, pero es arriesgado: el correo de un CRM, de un servicio de boletines o del programa de contabilidad que olvidaste añadir a SPF y DKIM empezará a rechazarse. Empieza con p=none unas semanas, lee los informes, corrige los orígenes y solo después endurece.
¿Es legal poner a prueba a los empleados con correos de phishing?
La simulación se hace en nombre de la empresa por decisión escrita de la dirección, con límites acordados y con RR. HH. informado. No recoge contraseñas ni datos personales más allá de lo que necesita el informe, y los resultados no se usan para castigar. Si tienes dudas laborales, acuerda el formato con un abogado.
¿Hay que castigar a quien hizo clic?
No. El castigo enseña a esconder los errores, y entonces te enteras tarde de un ataque real. Quien hizo clic y avisó enseguida lo hizo todo bien.
¿Hace falta un pentest si el correo ya está configurado?
Los ajustes del correo cierran la falsificación del dominio y parte del correo dañino. Si se puede entrar en tu web, tu área de clientes o tu API lo muestra un pentest. Son comprobaciones distintas para riesgos distintos.
Referencias
- RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email, Version 1 rfc-editor.org
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures rfc-editor.org
- RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) rfc-editor.org
- NCSC: Email security and anti-spoofing ncsc.gov.uk
- Microsoft Learn: Set up DMARC to validate email in Microsoft 365 learn.microsoft.com
- Microsoft Learn: How to use DKIM for email in your custom domain learn.microsoft.com
- Microsoft Learn: Set-ExternalInOutlook learn.microsoft.com
- Microsoft Learn: Safe Links in Microsoft Defender for Office 365 learn.microsoft.com
- FBI IC3: Business Email Compromise: The $55 Billion Scam (PSA, 2024) ic3.gov
- Microsoft Learn: Configure user reported message settings learn.microsoft.com
- NCSC: Phishing attacks: defending your organisation ncsc.gov.uk
