Cualquiera puede mandar correos en nombre de su empresa (y probablemente ya lo hacen)

Voy a empezar por lo incómodo: probablemente hoy mismo, sin tocar nada de su empresa, yo podría mandar un correo que llegase a la bandeja de entrada de su mejor cliente, firmado con la dirección de su director financiero, pidiéndole que cambie el número de cuenta de la próxima transferencia.

No haría falta hackear nada. El correo electrónico se diseñó en los años setenta, entre gente que se conocía, y no comprueba quién dice ser el remitente. Esa comprobación se añadió después, es voluntaria, y la mayoría de las empresas pequeñas no la tienen activada.

Los tres registros

Existen tres mecanismos, y funcionan como capas:

SPF es la lista de quién puede enviar correo en su nombre. Dice: «mis correos salen de Microsoft 365 y de mi plataforma de facturación; cualquier otro es falso». Es el más extendido, y muchas empresas lo tienen porque su proveedor de correo lo configuró solo.

DKIM es una firma criptográfica que su servidor pone en cada correo. El receptor comprueba la firma contra una clave pública que usted publica en su DNS. Si el mensaje se modificó por el camino, o si nunca salió de su servidor, la firma no cuadra.

DMARC es el que de verdad importa, y el que casi nadie tiene. Es la instrucción que le da a Gmail, a Outlook y a los demás sobre qué hacer con un correo que dice venir de usted y no pasa las comprobaciones anteriores: dejarlo pasar, mandarlo a spam o rechazarlo directamente. Y, de paso, hace que le lleguen informes de los intentos.

Sin DMARC, SPF y DKIM son un candado sin puerta. Usted publica quién puede enviar, pero no le dice a nadie qué hacer cuando alguien miente.

Cómo comprobar si los tiene

Puede verlo usted mismo en dos minutos. Desde el símbolo del sistema de Windows:

nslookup -type=TXT sudominio.es
nslookup -type=TXT _dmarc.sudominio.es

En la primera consulta debería aparecer una línea que empieza por v=spf1. En la segunda, una que empieza por v=DMARC1. Si la segunda no devuelve nada —y en nuestra experiencia, en más de la mitad de las pymes andaluzas no devuelve nada— cualquiera puede suplantarle sin que nadie lo impida.

Por qué esto se traduce en dinero

El fraude del CEO y el fraude de la factura no son ataques sofisticados. Son un correo bien escrito, enviado en el momento adecuado, desde una dirección que parece la de siempre. En España se llevan por delante decenas de millones de euros al año, y la mayoría de las víctimas son empresas de menos de cincuenta empleados.

Cuando ocurre, el problema no es solo el dinero. Es la conversación con el cliente al que le estafaron usando su nombre, y la duda que le queda para siempre sobre si trabajar con usted es seguro.

Cómo se arregla

Bien hecho, es un trabajo de un rato y luego un par de semanas de observación:

1. Inventariar quién envía correo legítimamente en su nombre. Su proveedor de correo, sí, pero también la plataforma de facturación, la de boletines, el CRM, la web. Esta parte es la que se salta todo el mundo y la que rompe las cosas después.
2. Activar DKIM en su proveedor de correo y publicar las claves.
3. Publicar DMARC en modo observación (p=none). No bloquea nada todavía; solo empieza a mandarle informes de quién está enviando en su nombre.
4. Leer esos informes durante dos o tres semanas. Aquí aparecen las sorpresas: sistemas legítimos que nadie recordaba, y a veces también los intentos de suplantación.
5. Subir a cuarentena y luego a rechazo (p=quarantine, p=reject) cuando el tráfico legítimo esté todo cubierto.

El paso cuatro es el que separa hacerlo bien de hacerlo mal. Publicar p=reject de golpe, sin observar antes, es la forma más rápida de que dejen de llegar sus propias facturas.

Si prefiere no tocarlo usted

Es de las primeras cosas que revisamos en cualquier security assessment, y suele ser también de las que más rápido se arreglan. Si quiere, lo miramos y le decimos cómo está su dominio, sin compromiso: escríbanos o llame.