Cómo las filtraciones de datos de los proveedores ponen en riesgo su dominio de correo electrónico – y cómo actuar ante ello

Protocolos de respuesta inmediata ante infracciones por parte de proveedores

Cuando un proveedor anuncia un incidente de seguridad, su dominio de correo electrónico se ve expuesto a un riesgo elevado en cuestión de horas. Los atacantes actúan con rapidez para aprovechar el lapso de tiempo que transcurre entre la divulgación del incidente y la respuesta de los clientes.

Primera hora: Evaluar la exposición del correo electrónico

Revisa tus políticas de autenticación de correo electrónico para los dominios que interactúan con el proveedor afectado. Comprueba si el proveedor envía correos electrónicos en tu nombre o si tiene acceso a tu infraestructura a través de integraciones.

Indica para qué utiliza el proveedor tus dominios:

• Notificaciones y alertas automáticas
• Comunicaciones de facturación y cuentas
• Respuestas a los tickets de asistencia
• Campañas de marketing
• Informes generados por el sistema

Este inventario cobra especial importancia en las próximas 48 horas, momento en el que los atacantes suelen lanzar campañas de seguimiento.

De la segunda a la sexta hora: reforzar la supervisión

Aumenta la frecuencia de la supervisión de DMARC a informes diarios durante la ventana del incidente.

Activa las alertas en tiempo real para:

• Errores de autenticación procedentes de dominios asociados al proveedor afectado
• Aumentos repentinos en el volumen de correos electrónicos procedentes de esos dominios
• Nuevas fuentes de envío que intentan utilizar su dominio
• Fallos de SPF y DKIM por encima de los niveles de referencia

El seguimiento diario durante los periodos de crisis permite detectar patrones de ataque que los informes semanales pasan por alto.

Días 1 a 7: Bloqueo de la comunicación

Implementa restricciones temporales para las aprobaciones por correo electrónico y las transacciones financieras. Las brechas de los proveedores crean las condiciones ideales para ataques BEC que aprovechan las relaciones de confianza.

Establece la verificación fuera de banda para:

• Autorizaciones de pago en las que se menciona al proveedor afectado
• Cambios en los datos de pago o la información bancaria del proveedor
• Solicitudes urgentes relacionadas con el incidente de seguridad
• Mensajes que afirman proceder de los directivos o del equipo de seguridad del proveedor

Los ataques se disparan inmediatamente después de las filtraciones de los proveedores, porque los atacantes disponen de información reciente sobre las relaciones y los patrones de comunicación.

Medidas proactivas de protección de dominios

Una seguridad del correo electrónico independiente del proveedor requiere controles que funcionen independientemente del nivel de seguridad de terceros. Estas medidas protegen su dominio incluso cuando los proveedores de confianza sufren un ataque que compromete por completo su seguridad.

Refuerzo de la política DMARC

Traslada los dominios críticos a las políticas p=reject antes de que se produzcan brechas de los proveedores. Las empresas con p=none o p=quarantine políticas siguen siendo vulnerables a la suplantación de dominio incluso después de que se revelen y corrijan las brechas de los proveedores.

Ejemplo de registro:

Una política de rechazo impide que los atacantes suplanten con éxito su dominio, independientemente de la información obtenida a raíz de las brechas de seguridad de los proveedores. Esto genera una protección independiente de los proveedores que se mantiene incluso ante ataques a la cadena de suministro.

Aislamiento de subdominios

Implementa subdominios independientes para las integraciones de proveedores con el fin de contener posibles vulneraciones. Crea subdominios específicos para:

• Comunicaciones iniciadas por el proveedor
• Herramientas de marketing de terceros
• Sistemas de asistencia y gestión de incidencias
• Sistemas financieros y de facturación

Este aislamiento limita la capacidad de un atacante para aprovechar la vulneración de un proveedor con el fin de suplantar dominios de mayor alcance. Aunque los atacantes accedan a los sistemas del proveedor, no pueden suplantar fácilmente su dominio principal.

Marco de evaluación de riesgos para las integraciones de correo electrónico de proveedores

No todas las relaciones con los proveedores entrañan el mismo riesgo para la seguridad del correo electrónico. Desarrolla criterios de evaluación sistemáticos para identificar las integraciones de alto riesgo antes de que se produzcan incidentes.

Auditoría de privilegios de correo electrónico de proveedores

Documenta los permisos de correo electrónico concedidos a cada proveedor:

• Acceso para enviar mensajes en nombre de otros en tus dominios
• Acceso a las direcciones de correo electrónico de los empleados y a las listas de distribución
• Integración con tu infraestructura de seguridad del correo electrónico
• Autorización para modificar registros DNS o políticas de autenticación de correo electrónico
• Almacenamiento del contenido o los metadatos del correo electrónico

Los proveedores con amplios privilegios de correo electrónico crean superficies de ataque más extensas cuando se ven comprometidos.

Asignación de dependencias de integración

Analiza cómo un ataque a un proveedor podría propagarse por tu infraestructura de correo electrónico. Identifica:

• Proveedores de los que dependen otros proveedores (riesgo de la cadena de suministro anidada)
• Puntos únicos de fallo en la autenticación del correo electrónico
• Proveedores con acceso a cuentas de correo electrónico administrativas

Este análisis pone de manifiesto vectores de ataque ocultos en la cadena de suministro que las evaluaciones de riesgos estándar pasan por alto.

Análisis del historial de incidentes

Realiza un seguimiento de los incidentes de seguridad de los proveedores a lo largo del tiempo para identificar patrones:

• Frecuencia y gravedad de las brechas reveladas
• Tiempo transcurrido entre la ocurrencia del incidente y su divulgación
• Calidad de la comunicación sobre incidencias y la orientación al cliente
• Pruebas de ataques a la cadena de suministro tras sus incidentes

Los proveedores con un historial de incidentes deficiente requieren controles de seguridad de correo electrónico adicionales, independientemente de su nivel de seguridad actual.

Cómo te ayuda Sendmarc a mantenerte protegido

La forma más eficaz de prevenir los ataques a la cadena de suministro no depende de las prácticas de seguridad de los proveedores. Implementa controles de seguridad del correo electrónico que funcionen independientemente de los incidentes que puedan sufrir terceros.

La protección DMARC integral de Sendmarc garantiza esta independencia de los proveedores. Las políticas de autenticación sólidas, la supervisión continua y las funciones de respuesta automatizada protegen su dominio frente a los ataques a la cadena de suministro.