Cualquiera puede mandar correos en nombre de su empresa (y probablemente ya lo hacen)

Voy a empezar por lo incómodo. Probablemente hoy mismo, sin tocar nada de su empresa, yo podría mandar un correo que llegase a la bandeja de entrada de su mejor cliente, firmado con la dirección de su director financiero, pidiéndole que cambie el número de cuenta de la próxima transferencia.

No haría falta hackear nada. El correo electrónico se diseñó en los años setenta, entre gente que se conocía, y no comprueba quién dice ser el remitente. Esa comprobación se añadió después, es voluntaria, y la mayoría de las empresas pequeñas no la tienen activada.

Los tres registros

Son tres mecanismos y funcionan por capas. Cada uno resuelve una parte, y el tercero es el que da sentido a los dos anteriores.

SPF

Es la lista de quién puede enviar correo en su nombre. Viene a decir: mis correos salen de Microsoft 365 y de mi plataforma de facturación, y cualquier otro es falso. Es el más extendido de los tres. Muchas empresas lo tienen sin saberlo, porque se lo configuró el proveedor de correo el día del alta.

DKIM

Es una firma criptográfica que su servidor pone en cada mensaje. Quien lo recibe comprueba esa firma contra una clave pública que usted publica en su DNS. Si el correo se modificó por el camino, o si nunca salió de su servidor, la firma no cuadra y se nota.

DMARC

Es el que de verdad importa y el que casi nadie tiene. Es la instrucción que usted le da a Gmail, a Outlook y a los demás sobre qué hacer con un correo que dice venir de su dominio y no pasa las comprobaciones anteriores. Puede decirles que lo dejen pasar, que lo manden a spam o que lo rechacen sin más. De paso, hace que le lleguen informes de los intentos.

Sin DMARC, los otros dos son un candado sin puerta. Usted publica quién puede enviar en su nombre, pero no le dice a nadie qué debe hacer cuando alguien miente.

Cómo comprobar si los tiene

Puede verlo usted mismo en dos minutos. Desde el símbolo del sistema de Windows:

nslookup -type=TXT sudominio.es
nslookup -type=TXT _dmarc.sudominio.es

En la primera consulta debería aparecer una línea que empieza por v=spf1. En la segunda, una que empieza por v=DMARC1. Si la segunda no devuelve nada, y en nuestra experiencia en más de la mitad de las pymes andaluzas no devuelve nada, cualquiera puede suplantarle sin que nadie lo impida.

Por qué esto se traduce en dinero

El fraude del CEO y el fraude de la factura no son ataques sofisticados. Son un correo bien escrito, enviado en el momento oportuno, desde una dirección que parece la de siempre.

Para que se haga una idea del tamaño del negocio: en julio de 2026 la Policía Nacional desarticuló una sola organización que se había apropiado de 140 millones de euros con estafas del CEO, facturas falsas y suplantación de correo. Habían abierto 800 cuentas bancarias y 120 sociedades, y hicieron falta Europol e Interpol para pararlos. Una sola red.

El INCIBE lleva años avisando de lo mismo, y en su guía para pymes de julio de 2025 apunta el dato que más dice de todo esto: el fraude del CEO está entre las diez consultas más frecuentes que reciben de empresas. Las pequeñas son las que peor lo llevan, porque rara vez tienen a alguien mirando.

Cuando ocurre, el problema no es solo el dinero. Es la conversación con el cliente al que estafaron usando su nombre. Y la duda que le queda para siempre sobre si trabajar con usted es seguro.

Cómo se arregla

Bien hecho, es un trabajo de una tarde y luego un par de semanas de observación. El orden importa:

1. Inventariar quién envía correo legítimamente en su nombre. El proveedor de correo, sí, pero también la plataforma de facturación, la de boletines, el CRM y la web. Esta parte se la salta casi todo el mundo, y es justo la que rompe las cosas después.
2. Activar DKIM en su proveedor de correo y publicar las claves en el DNS.
3. Publicar DMARC en modo observación, con p=none. Todavía no bloquea nada. Solo empieza a mandarle informes de quién está enviando en su nombre.
4. Leer esos informes durante dos o tres semanas. Aquí aparecen las sorpresas: sistemas legítimos que ya nadie recordaba y, a veces, los intentos de suplantación.
5. Subir a cuarentena y después a rechazo, con p=quarantine y p=reject, cuando el tráfico legítimo esté todo cubierto.

El paso cuatro es el que separa hacerlo bien de hacerlo mal. Publicar p=reject de golpe, sin haber observado antes, es la forma más rápida de que dejen de llegarle sus propias facturas.

Si prefiere no tocarlo usted

Es de las primeras cosas que miramos en cualquier security assessment, y también de las que antes se arreglan. Si quiere, le decimos cómo está su dominio y ya decide: escríbanos o llame por teléfono.