Información de identificación personal en el correo electrónico: qué es, por qué es importante y cómo protegerla

La información de identificación personal (PII) es cualquier dato que pueda identificar a una persona de forma directa o indirecta. Incluye datos obvios como nombres, números de identificación y direcciones de correo electrónico. También incluye datos menos obvios como cargos laborales, códigos postales y fechas de nacimiento.

El correo electrónico sigue siendo uno de los lugares más comunes donde las empresas envían, reciben y almacenan información de identificación personal. También es uno de los lugares donde esa información puede quedar expuesta con mayor facilidad. El correo electrónico se diseñó para facilitar la comunicación abierta, y los controles de seguridad se añadieron posteriormente. Eso significa que el propio canal supone un riesgo para las organizaciones que manejan datos confidenciales de clientes o empleados.

Para las empresas, la exposición de la PII en el correo electrónico no es solo un problema técnico. Cuando los atacantes recopilan PII mediante phishing, dominios falsificados o buzones de correo comprometidos, la empresa cuya marca se suplanta suele sufrir las consecuencias.

Estos pueden incluir:

• Sanciones por incumplimiento
• Pérdida de confianza de clientes y empleados
• Daños financieros

Si quiere tener una visión rápida de la exposición de su dominio a los ciberdelincuentes, puede ejecutar un análisis gratuito con el analizador de dominios de Sendmarc.

¿Qué es la PII?

La PII es información que puede utilizarse para identificar, contactar o localizar a una persona específica. Algunos datos revelan por sí solos la identidad de alguien. Otros solo cuando se combinan con información adicional.

La PII se divide en dos grupos:

1. Identificadores directos

Los identificadores directos son datos que suelen identificar a una persona por sí mismos. Algunos ejemplos son:

• Nombre completo
• Número de la Seguridad Social (SSN)
• Número de teléfono
• Dirección de correo electrónico
• Dirección particular
• Datos del pasaporte
• Número de cuenta bancaria o tarjeta

Cuando varios de estos datos aparecen juntos en un correo electrónico –por ejemplo, una nómina que incluye el nombre completo, el número de la Seguridad Social (SSN) y los datos bancarios– la sensibilidad aumenta.

2. Identificadores indirectos

Los identificadores indirectos pueden no identificar a una persona por sí solos, pero pueden hacerlo cuando se combinan con otra información. Entre ellos se incluyen:

• Código postal
• Fecha de nacimiento
• Género
• Raza o etnia
• Cargo y empresa
• Direcciones IP e identificadores de dispositivos
• Detalles médicos

Debido a que estos identificadores aparecen en mensajes rutinarios, las personas suelen subestimar lo fácil que es exponer datos personales sin querer.

Lo que no incluye la PII

Los datos anónimos o agregados que no se pueden vincular a una persona específica normalmente no se consideran PII. Por ejemplo, «un cliente masculino de Ohio» no contiene PII por sí solo.

La información de contacto comercial, como la dirección de correo electrónico del trabajo ([email protected]) o el número de teléfono de la oficina, suele encontrarse en una zona gris. Muchos reguladores no la tratan como PII, ya que técnicamente se refiere a la vida profesional de una persona y no a su vida personal.

Dónde aparece la PII en los correos electrónicos comerciales

Si revisas un buzón corporativo típico, encontrarás PII por todas partes:

• Equipos de RR. HH. intercambiando nóminas, contratos y solicitudes de empleo
• Finanzas compartiendo datos bancarios, números de identificación fiscal y facturas de clientes
• Atención al cliente gestionando actualizaciones de dirección particular o número de teléfono
• Sanidad y seguros intercambiando información médica altamente sensible

Por eso, la PII en el correo electrónico merece una atención específica en su estrategia de seguridad y cumplimiento normativo. Afecta directamente a sus clientes, empleados y a su empresa.

¿Por qué es tan arriesgado incluir la PII en los correos electrónicos?

Para entender por qué enviar PII por correo electrónico es arriesgado, ayuda recordar cómo se creó originalmente el correo electrónico.

El correo electrónico se diseñó para la comunicación abierta, no para la confidencialidad. El cifrado y la autenticación se añadieron en una etapa posterior. Estos controles no siempre se configuran de forma coherente en todos los sistemas.

Esto genera varias áreas de riesgo.

Riesgo de transmisión

Cuando se envía un correo electrónico, este pasa por varios servidores antes de llegar al destinatario. En cualquier etapa de ese recorrido, el mensaje puede quedar expuesto si la conexión no es segura, especialmente en redes como las Wi-Fi públicas.

Desde una perspectiva empresarial, esto significa que un mensaje que contenga escaneos de documentos de identidad, datos bancarios o información médica podría enviarse en texto sin formato, lo que lo haría susceptible de interceptación y manipulación de datos.

Almacenamiento y conservación

Incluso cuando la transmisión está cifrada, el almacenamiento a largo plazo de la PII en el correo electrónico es un punto de exposición importante.

Los correos electrónicos y los archivos adjuntos permanecen en las bandejas de entrada, los elementos enviados y los archivos durante años. También se exportan a archivos sin conexión. El personal accede a ellos desde ordenadores portátiles, teléfonos móviles y, en algunos casos, dispositivos personales. Cada una de estas ubicaciones se convierte en un punto de acceso si un atacante logra entrar en el dispositivo.

Esto puede suceder a través de:

• Ordenadores portátiles desatendidos o sin bloquear
• Teléfonos sin pantalla de bloqueo
• Dispositivos sin cifrar

Un solo buzón comprometido puede exponer años de comunicaciones confidenciales.

Error humano

El correo electrónico es una herramienta de comunicación impulsada por personas, por lo que los errores son inevitables.

Entre los problemas más comunes se incluyen enviar un correo electrónico al destinatario equivocado, reenviar cadenas de mensajes largas sin darse cuenta de que los mensajes anteriores contenían PII, o adjuntar accidentalmente el archivo equivocado. A menudo, las personas trabajan rápidamente o cambian de dispositivo, lo que aumenta la posibilidad de cometer errores.

Suplantación de identidad y phishing

Si los atacantes pueden hacer que un correo electrónico parezca provenir de su dominio, pueden convencer al personal, los clientes o los socios de que entreguen su PII voluntariamente. Algunos ejemplos son:

• Correos electrónicos fraudulentos en nombre del departamento de RR. HH. en los que se pide a los empleados que suban documentos de identidad a un portal fraudulento
• Mensajes financieros falsos solicitando datos bancarios actualizados
• Correos electrónicos falsos de atención al cliente que dirigen a los clientes a páginas de inicio de sesión para recopilar credenciales

Incluso si su infraestructura es segura, seguirás enfrentando un problema grave si alguien puede suplantar su dominio de forma convincente y recopilar PII en su nombre.

Evalúe la facilidad con la que los atacantes pueden suplantar su dominio. El analizador de dominios gratuito de Sendmarc muestra si sus controles actuales protegen a su organización contra el phishing.

Lista de verificación práctica: cómo proteger la PII en el correo electrónico

No puede eliminar la PII de los correos electrónicos por completo, pero sí puede reducir el riesgo con algunos cambios específicos. Piensa en limitar la frecuencia con la que se envía la PII, mejorar cómo se protege cuando es necesario enviarla, y reforzar las cuentas que la gestionan.

1. Reducir la cantidad de PII enviada por correo electrónico

Empieza por preguntarte si el correo electrónico es el canal adecuado para compartir datos. Para los datos de alto riesgo, los portales seguros, los formularios o las herramientas de carga de documentos suelen ser más seguros, ya que están diseñados para información confidencial.

Cuando el correo electrónico sea inevitable, envía solo lo necesario. Si un equipo se siente tentado a adjuntar una exportación completa de un sistema, considera si puede crear un informe más específico o compartir un enlace al sistema en su lugar.

2. Reforzar el cifrado y la configuración

Trabaja con su equipo de TI o de seguridad para garantizar que se aplique el protocolo Transport Layer Security (TLS) al correo electrónico en tránsito. Puede hacerlo con Mail Transfer Agent Strict Transport Security (MTA-STS), que puede indicar a los servidores receptores que solo utilicen conexiones cifradas.

Consejo: Para flujos de trabajo especialmente sensibles, añade capas adicionales, como herramientas de cifrado a nivel de mensaje.

3. Estandarizar flujos de trabajo más seguros para el envío de PII

Define qué significa «bueno». Documenta qué procesos pueden usar el correo electrónico para la PII y cuáles deben usar canales alternativos.

Los equipos pueden crear plantillas más seguras, estandarizando la redacción que utilizan para procesos comunes (como solicitar documentos o confirmar detalles). La plantilla incluye la estructura y las instrucciones.

Los ejemplos claros también facilitan la detección de solicitudes inusuales o maliciosas. Cuando el personal sabe cómo es una comunicación legítima relacionada con la PII, es más probable que cuestione cualquier cosa que parezca fuera de lugar.

4. Capacitar a las personas para reconocer la PII y tratarla con cuidado

La formación en concienciación debe ir más allá de los ejemplos generales de phishing.

Debería ayudar a las personas:

• Reconocer qué cuenta como PII
• Comprender tus obligaciones normativas
• Saber cuándo pueden y cuándo no pueden enviar PII por correo electrónico
• Tener la confianza para escalar solicitudes inusuales

Los cursos de actualización breves y regulares suelen ser más eficaces que una única sesión de formación larga al año.

5. Utilizar controles técnicos estrictos para el acceso al correo electrónico

Aplica la autenticación multifactor a todos los usuarios, pero especialmente a los administradores y ejecutivos. Establece normas claras de seguridad para los dispositivos, como el cifrado completo del disco, bloqueos de pantalla seguros y funciones de borrado remoto.

Por último, implementa protocolos de autenticación de correo electrónico para que los destinatarios puedan verificar que los mensajes que dicen provenir de su dominio son legítimos. Esto respalda directamente sus esfuerzos por prevenir ataques de suplantación de identidad que recopilan PII.

Cómo la autenticación del correo electrónico protege la PII contra la suplantación de identidad

Muchas de las violaciones de PII más perjudiciales comienzan con una táctica sencilla: un usuario recibe un correo electrónico que parece provenir de una empresa de confianza y responde con información confidencial.

Los protocolos de autenticación de correo electrónico – Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) y Domain-based Message Authentication, Reporting, and Conformance (DMARC) – están diseñados para dificultar mucho más que los atacantes usen su dominio en intentos de suplantación de identidad.

• SPF le permite definir qué servidores pueden enviar correos electrónicos en nombre de su dominio.
• DKIM añade una firma digital a los mensajes para que los destinatarios puedan verificar que el contenido no ha sido alterado durante el tránsito.
• DMARC te permite especificar qué debe suceder cuando un mensaje no supera las comprobaciones de SPF y/o DKIM, y te ofrece visibilidad de todas las fuentes de correo electrónico.

Cuando DMARC se aplica correctamente –con una política de p=quarantine o p=reject– los sistemas receptores pueden poner en cuarentena o bloquear los mensajes que afirman provenir de su dominio pero no superan la autenticación. Como resultado, llegan a las bandejas de entrada muchos menos correos electrónicos fraudulentos de «RR. HH.» o «soporte técnico».

Para la protección de la PII, esto es importante. Si los atacantes no pueden suplantar su dominio de forma convincente, les resultará mucho más difícil:

• Solicitar documentos de identidad a empleados o clientes
• Recopilar datos bancarios y de pago mediante mensajes financieros falsos
• Dirigir a las personas a páginas de recopilación de credenciales que se parecen a tu portal de inicio de sesión

Cómo Sendmarc te ayuda a proteger la PII deteniendo el abuso de dominio

Sendmarc ayuda a las empresas a salvar la brecha entre la teoría y la práctica en lo que respecta a la autenticación del correo electrónico y la protección de la PII.

Sendmarc comienza por ofrecerle una visibilidad clara de quién envía correos electrónicos en nombre de su dominio. Los reportes de DMARC se recopilan y se convierten en vistas sencillas y precisas que separan a los remitentes legítimos –como plataformas de marketing, CRM y sistemas de emisión de tickets– de fuentes desconocidas o no autorizadas. Esto facilita detectar de dónde puede provenir la suplantación de identidad o el abuso de dominio.

Sendmarc también te ayuda a configurar SPF y DKIM de forma segura. En lugar de prueba y error en el DNS, obtienes una configuración guiada, validación automatizada y una gestión continua más sencilla. Las configuraciones erróneas que provocan silenciosamente que los mensajes fallen en la autenticación se detectan y resuelven sin necesidad de conjeturas.

Con esa base establecida, Sendmarc respalda una progresión estructurada desde la supervisión hasta la protección total. Empiezas con p=none para recopilar datos, pasas a p=quarantine una vez que sus remitentes legítimos están correctamente autenticados, y finalmente llegas a p=reject con la confianza de que su correo legítimo seguirá entregándose. Ese último paso es donde los mensajes falsificados se bloquean por completo, lo que reduce directamente los intentos de phishing que recopilan PII.

Debido a que los entornos de correo electrónico cambian constantemente, Sendmarc también supervisa cualquier actividad nueva o inusual. Se le avisa cuando nuevos servicios comienzan a enviar desde su dominio o cuando se realizan cambios en el DNS. Esta supervisión continua ayuda a que su defensa se mantenga al día con sus actualizaciones.

Todo esto respalda tus objetivos más amplios de privacidad y cumplimiento normativo. Los reguladores esperan que las organizaciones adopten medidas técnicas razonables para proteger los datos personales. Reducir el riesgo de suplantación de identidad por correo electrónico y de abuso de dominio es una parte esencial para cumplir con esa expectativa.

Reserva una demo para ver cómo Sendmarc te ayuda a detener los correos electrónicos falsificados que recopilan PII, y a proteger a tus clientes, empleados y marca.