Suplantación de dominio de correo: mitos y verdades

Sat, 14 Nov 2026 00:00:00 +0100

Introducción

El mundo del correo electrónico es una pila de tecnologías superpuestas que se van adicionando y reemplazando unas a otras para lograr un ambiente de comunicaciones moderno y seguro. Pero esta complejidad deja lugar a muchos agujeros de seguridad que pueden ser explotados por agentes maliciosos.

En este artículo se abordan los mitos más comunes sobre la seguridad del correo, especialmente aquellos sobre suplantación de identidad, y se revela qué verdades hay detrás de estos.

¿Qué es suplantación?

Cuando usamos este término, nos referimos a la identidad de un agente o entidad que es utilizada por otro sin autorización, usualmente con fines de engaño, fraude o estafa. Esta puede surgir de varias formas en las que se explotan diferentes recursos o vulnerabilidades, tanto de la tecnología en sí como de las propias víctimas.

La suplantación es más peligrosa que cualquier tipo de correo no deseado, porque explota la confianza de las personas, quienes asumen que el contenido de un mensaje es verdadero y benigno solo por asociarlo a una entidad conocida y de confianza.

Tipos de suplantación

Habiendo definido este término, se especifican los tipos de suplantación según el vector de ataque:

Suplantación de nombre para mostrar

En este caso lo que se suplanta es únicamente el nombre, es decir que la dirección de correo electrónico puede ser cualquiera, pero se utiliza el nombre de alguien de confianza. Por ejemplo:

De:	Juan Pérez <cualquier_direccion@email.com>
Para:	Usted
Asunto:	Documento importante.
Mensaje:	Estimado usuario, por favor revisar el documento adjunto. Saludos, Juan Pérez - Director Financiero.

Si el destinatario confía en alguien cuyo nombre es Juan Pérez y no revisa la dirección de correo desde la que se envía, habrá caído en el ataque, que en el ejemplo involucra descargar y abrir un archivo adjunto, posiblemente con una carga maliciosa.

Este tipo de ataques es el más simple pero es muy potente: el atacante explota tanto la falta de revisión y de lectura de la víctima como la falta de verificación y validación de la tecnología con respecto al nombre. Además, esto se acentúa cuando la interfaz de la aplicación de correo hace hincapié en el nombre y no en la dirección, algo muy común en aplicaciones móviles.

Uso de dominio similar u homógrafos

Aplica para los casos de correo corporativo donde el dominio es de la organización y distinto a los proveedores gratuitos como Gmail, Outlook o Yahoo!. El atacante registra un dominio similar al que quiere suplantar, por ejemplo:

Dirección objetivo:	juan.perez@empresa.com
Dirección usada:	juan.perez@ernpresa.com

Como se puede observar, los dominios empresa.com y ernpresa.com son distintos pero se ven parecidos a simple vista, lo que suele bastar para engañar a alguien que no preste suficiente atención.

En este caso, el atacante registra el dominio similar: ernpresa.com y lo conecta con un proveedor o servidor de correo para explotar esa similitud.

Suplantación de dominio

En este caso, el ataque es más avanzado, ya que el atacante logra usar la dirección de correo exacta del usuario a suplantar, con el mismo dominio. Este es uno de los ataques más subestimados de la lista.
Este ataque es posible, ya que no existe ninguna restricción en el protocolo que gobierna el correo electrónico (SMTP) que valide el dominio de correo que se utiliza para enviar los mensajes.

Aunque suene contraintuitivo, es factible. ¿Esto significa que cualquiera puede usar mi dirección de correo a voluntad? En principio sí, aunque con matices. Los proveedores de correo más populares introducen mecanismos de validación del dominio, como agregar un registro instruido por el proveedor para verificar que el administrador tiene control sobre este, pero esto no significa que sea un mecanismo universal para la tecnología en sí. En estos casos de suplantación, el atacante tiene cierta habilidad técnica para montar un servidor propio de correo y elegir el dominio de envío a voluntad, sin que se requiera mecanismo de validación alguno.

Uso no autorizado de infraestructura

Es un caso similar al anterior, donde se utiliza exactamente la misma dirección de correo que se quiere suplantar, pero con una diferencia fundamental: el mensaje de correo de suplantación proviene exactamente de la misma infraestructura que uno legítimo. Esto significa que el atacante logró acceder a la cuenta del usuario legítimo y la utiliza para enviar correo desde allí para obtener algo de sus víctimas. Esto puede pasar por una filtración de credenciales.

Mitos comunes sobre la suplantación

A continuación, se enumeran los mitos más comunes entre usuarios y administradores de correo.

1. El nombre en un correo electrónico determina la identidad del remitente

Este es rotundamente falso: el nombre para mostrar es completamente arbitrario y cualquiera puede elegir escribir el nombre que quiera. Evidentemente, es importante revisar la dirección de correo del remitente y con mucha atención.

En este caso, la solución requiere tanto que las interfaces gráficas muestren y destaquen la dirección del remitente como que los destinatarios revisen esta dirección y presten particular atención.

2. Solo pueden usar dominios similares para enviar correo en mi nombre

Como se explicó en el caso de suplantación de dominio, la suplantación de identidad no solo ocurre con dominios parecidos, sino también con el dominio exacto. Esto es perfectamente posible y existen protocolos de autenticación de dominio para evitarlo: SPF, DKIM y DMARC, aunque la configuración y las buenas prácticas son necesarias para que esta protección sea efectiva.

3. Que me suplanten la dirección exacta requiere conocimientos avanzados

No necesariamente: si bien requiere más esfuerzo que utilizar un dominio similar, muchas soluciones permiten montar un servidor propio rápidamente y usar el dominio elegido para las direcciones de los remitentes.

4. Si tengo los protocolos de autenticación no me pueden suplantar

Los protocolos de autenticación mencionados (SPF, DKIM y DMARC) requieren una configuración efectiva y una política de bloqueo activa. Las configuraciones parciales o laxas pueden reportar los envíos sospechosos, pero aun así estos se entregan. Además, hay que tener en cuenta que el bloqueo funciona del lado del que recibe el mensaje, por lo que la decisión de aceptarlo o no reside en el servidor del destinatario, si es que implementa la validación de los protocolos. El panorama general se inclina a favor de estos, lo que reduce significativamente los intentos de suplantación, pero se han encontrado situaciones donde ciertos fallos permiten eludir estos mecanismos de seguridad, como se describe en el estudio: Weak Links in Authentication Chains (Shen et al., 2021)

5. Si me llega un correo de mi propia dirección, es porque tienen acceso a mi cuenta

No precisamente, y es uno de los casos más comunes. En muchas ocasiones aparece un mensaje nuevo cuya dirección es la propia y cuyo mensaje indica provenir de la propia casilla con acceso total tanto a la cuenta como a toda la infraestructura. Esto es rotundamente falso. El atacante busca generar miedo en la víctima para que acceda a sus demandas por temor a una filtración de datos sensibles que alega poseer.

En realidad, es una plantilla de correo donde un atacante envía mensajes a todos los dominios sin protocolos de autenticación efectiva (DMARC), solicitando un pago a una billetera de Bitcoin. Esto lo hace de forma genérica y obtiene así rédito con muy poco esfuerzo. Si lo envía a miles de direcciones y logra convencer a unos pocos, habrá obtenido un beneficio económico considerable.

Para contrarrestar esta amenaza, es importante implementar correctamente los protocolos de autenticación (ver las recomendaciones de Google en materia de autenticación de dominio) y además evitar usar reglas y listas blancas basadas en direcciones o dominios, ya que se sabe que estos se pueden suplantar. El correo que es legítimo debe provenir de una infraestructura autorizada.

6. Los antispam y antivirus detienen la suplantación de identidad

No precisamente. Algunas de estas soluciones incorporan módulos de verificación del dominio de correo electrónico, pero en sí mismas son herramientas que buscan patrones maliciosos en el contenido. Estos son aspectos diferentes y ajenos a la suplantación, ya que un correo que dice provenir de alguien que no es puede instruir a la víctima a realizar alguna acción, como enviar cierta cantidad de dinero a una cuenta, sin tener que enviar enlaces o archivos maliciosos.

Además, es importante notar que se tratan de frentes distintos: el correo entrante y el saliente. En el primer caso, los filtros de entrada de este tipo de software pueden ayudar, pero solo funcionan con el correo que llega a las casillas que protegen ese antispam. El correo que se envía en nuestro nombre se envía generalmente a otros, y nuestro antispam no puede protegerlos.

7. La conexión cifrada con TLS previene la suplantación de identidad

Este mito también confunde dos aspectos diferentes de la seguridad del correo. El mecanismo STARTTLS permite cifrar una conexión en la que se transferirá un mensaje, es decir, protege la privacidad de lo que se transmite, pero no implica que la entidad que lo envía sea quien dice ser. Esto último es una atribución exclusiva de la autenticación.

Recomendaciones generales

Como se puede ver, la tecnología que habilita el correo electrónico no es ajena a la suplantación de identidad, y en ciberseguridad nada es 100% seguro. Por lo tanto, el enfoque de seguridad por capas y las buenas prácticas son esenciales para reducir las probabilidades de un ataque exitoso.
Estas recomendaciones incluyen los siguientes puntos:

Proteger credenciales de acceso

Para prevenir el acceso no autorizado a la cuenta de correo. Usar un administrador de contraseñas seguro que permita gestionar contraseñas complejas y de alta entropía. Además, configurar un segundo factor de autenticación como capa adicional de seguridad en caso de robo de credenciales.

Esto también aplica al acceso al DNS. Teniendo en cuenta que la infraestructura autorizada para enviar correo en su nombre se valida con registros DNS, proteger el acceso a este es fundamental, no solo para el correo electrónico, sino para todos los servicios conectados con el dominio.

Implementar protocolos de autenticación de dominio

Proteger el dominio con los protocolos de autenticación de dominio de correo. Los conocidos SPF, DKIM y DMARC deben configurarse correctamente para cada proveedor autorizado utilice el nombre de dominio, y después de realizar pruebas y ensayos, publicar una política restrictiva para DMARC, como p=reject. Esto último debe hacerse con un plan de implementación para no afectar las comunicaciones legítimas.

No usar listas blancas basadas en dominios

Evitar usar listas blancas basadas en direcciones de correo. Este error común cuesta caro, ya que limita las protecciones configuradas por los protocolos de autenticación. El criterio de la excepción configurada no debe basarse en un elemento tan manipulable como la dirección de correo.

Utilizar proveedores de correo serios

Serios son aquellos que se toman en serio la autenticación de dominio, ya que no incurrirán en malas prácticas que perjudiquen la seguridad de sus casillas, además de permitir el envío de correo cifrado, el cual podría forzarse con MTA-STS.

Revisar siempre la dirección de correo del remitente

Ya que esta es un poco más difícil de suplantar que el nombre para mostrar. En pocas palabras, se requiere prestar más atención y desconfiar de todo correo nuevo.

Actualizaciones y parches

Estar al día con las actualizaciones y parches de seguridad, ya que un solo elemento vulnerable puede usarse como medio para llegar a otros sistemas y extender los elementos comprometidos.

Spoofing on Virus Kernel