¿Qué es DMARC y cómo puede protegerte?

DMARC es un protocolo tecnológico que verifica el origen de un correo electrónico y garantiza que solo los correos electrónicos reales lleguen a una bandeja de entrada.

Toda empresa es presa de los ciberdelincuentes del correo electrónico: la “estafa de los $26 mil millones”. El 80 % de las organizaciones sigue expuesto: DMARC puede protegerle.

La ciberdelincuencia es un tema prioritario para muchas empresas, y el correo electrónico es un vector de ataque importante que se explota activamente. Sin embargo, la mayoría de las empresas cree erróneamente que cuenta con todos los protocolos de seguridad de correo electrónico necesarios para protegerse. Esta creencia errónea, junto con el hecho de que la posibilidad de falsificación no se tuvo en cuenta cuando se diseñó el correo electrónico, ha contribuido al aumento de ciberdelincuentes que cada vez más convierten el correo electrónico en un arma y lo utilizan con éxito como su “herramienta de ataque” preferida.

Debido a este defecto de diseño en materia de seguridad, el correo electrónico, tal como está concebido, no ofrece ninguna protección frente a ataques como:

Falsificar un correo electrónico (suplantación de nombre de remitente) es relativamente rápido y no requiere conocimientos de programación. Sin embargo, los correos electrónicos falsos que usurpan los nombres de empleados y también imitan el formato y las características de lenguaje propias del remitente o la empresa requieren más habilidad. Aun así, existen muchos sitios web que explican cómo falsificar el nombre de remitente, y basta con unos pocos pasos sencillos para que cualquiera pueda crear y enviar un correo electrónico falso y hacerse pasar por la persona real.

Crear un nombre de dominio falsificado (domain spoofing) es más rápido y sencillo que registrar un dominio de apariencia similar, aunque ambos métodos son armas muy utilizadas en el arsenal de los ciberdelincuentes. Esto debería ser motivo de enorme preocupación para toda empresa.

Si bien es habitual implementar tecnología de seguridad centrada en proteger lo que entra en una organización, muchas organizaciones olvidan implementar los protocolos de seguridad necesarios para garantizar que solo los correos electrónicos salientes autenticados que llevan su nombre lleguen a una bandeja de entrada. Esta enorme brecha de seguridad les está costando muy caro a las empresas, tanto en lo financiero como en lo reputacional. La defensa frente a estos ataques es el estándar técnico global llamado DMARC (Domain-based Message Authentication, Reporting and Conformance), y las empresas que no lo tienen están en riesgo.

Toda empresa debería conocer su riesgo de exposición ante los ciberdelincuentes en materia de DMARC.

Cualquier empresa que se tome en serio la seguridad del correo electrónico y la protección de su marca, empleados y socios puede conocer al instante su vulnerabilidad ante los estafadores de correo electrónico con un análisis en línea rápido y autoadministrado.

en 2019 se enviaron a diario la asombrosa cifra de 128.8 mil millones* de correos electrónicos empresariales. Sin embargo, no todos ellos eran necesariamente lo que parecían a simple vista. La mayoría de las veces, cuando recibimos un correo electrónico, lo revisamos rápidamente para ver de quién procede. Nos fijamos en el nombre del remitente o en el nombre de dominio de la empresa y determinamos si lo reconocemos o no. Cuando lo reconocemos, damos por hecho automáticamente que el correo es legítimo y confiamos en que es lo que aparenta ser; lo aceptamos a primera vista.

Basta con buscar ejemplos de organizaciones que han sido víctimas de ciberdelincuentes que se hicieron pasar por ejecutivos, proveedores y distribuidores para encontrar decenas de casos. Está el caso de la tesorera municipal de Ottawa, quien recibió un correo electrónico de una dirección que creía perteneciente al administrador municipal y fue engañada para transferir por cable cerca de US$100,000.00 a un estafador, y el caso, más conocido, del ejecutivo financiero de Mattel, quien creyó que un correo electrónico recibido era del director ejecutivo cuando, en realidad, era falso y había sido enviado por un delincuente que se hacía pasar por él. el ejecutivo financiero envió $3 millones al delincuente.

En Sudáfrica, la la Universidad de Mpumalanga fue engañada para transferir cerca de $6.5 millones (ZAR100 millones) a un estafador. Recibieron un correo electrónico falsificado que utilizaba el nombre de su gestor de activos, así como el nombre de la empresa, que era Investec. El ciberdelincuente empleó tanto la suplantación de nombre de remitente como la suplantación de nombre de dominio en su ataque contra la universidad para obtener un beneficio fraudulento.

El correo electrónico indicaba que Investec, la empresa que gestionaba sus activos, había cambiado sus datos bancarios; su nuevo banco era FNB, y compartían el nuevo número de cuenta al que debía transferirse el dinero.

La universidad transfirió los pagos a la nueva cuenta bancaria. La actividad delictiva solo salió a la luz cuando el corredor real hizo averiguaciones con el director financiero de la universidad sobre el estado del pago pendiente, y la universidad respondió que ya había transferido el dinero a su nuevo banco. Al ser alertados del correo electrónico fraudulento y de la transferencia incorrecta de fondos, se contactó a los bancos para detener la transacción, y fue una suerte que FNB hubiera marcado el movimiento de la cuenta como sospechoso, lo que permitió que la universidad recuperara la mayor parte del dinero.

UNICEF en Sudáfrica también ha sido blanco de ciberdelincuentes mediante suplantación de nombre de remitente y de dominio en un ataque de phishing dirigido. A principios de 2021, se envió un correo electrónico falsificado que se hacía pasar por UNICEF Sudáfrica a varios destinatarios, pidiéndoles que participaran en un proceso de licitación para la construcción y renovación interior de una de sus instalaciones en Pretoria. La dirección de correo electrónico no pertenecía a UNICEF Sudáfrica, pero los ciberdelincuentes se habían apropiado del nombre de UNICEF en este ataque de phishing.

Estos correos de phishing que utilizan dominios similares (look-alike) apuntan a personas específicas con el objetivo concreto de defraudar a su empresa. El dominio similar puede tener una sola letra distinta en el nombre de dominio; sin embargo, si las diferentes variantes de dominios similares no se consideran al diseñar e implementar soluciones robustas de seguridad de correo electrónico, los ciberdelincuentes pueden llevar a cabo sus delitos con éxito y sin obstáculos.

Lamentablemente existen decenas de miles de ejemplos reales, que van desde pequeñas empresas hasta grandes corporaciones multinacionales, que han sido víctimas de estafas por correo electrónico posibles gracias a que los ciberdelincuentes aprovechan una seguridad de correo electrónico inexistente o deficiente.

Se informa que aproximadamente el 80 % de las organizaciones no cuenta con los protocolos de seguridad necesarios para detener los ataques de phishing y spoofing, ni para proteger su nombre de dominio frente a la explotación despiadada por parte de estafadores. El correo electrónico no se diseñó originalmente pensando en la seguridad, lo que permite a los delincuentes insertar fácilmente la dirección de cualquier remitente en un correo falsificado. Es precisamente esta falla la que brinda a los ciberdelincuentes actuales una herramienta para actividades fraudulentas, a menos que se implemente la tecnología adecuada para detenerlo.

Los ciberataques contra empresas de alto perfil generan muchos titulares; sin embargo, toda organización utiliza el correo electrónico, y las pequeñas y medianas empresas corren el mismo riesgo que una gran compañía. Por eso implementar DMARC debe ser una prioridad para empresas de todos los tamaños.

DMARC es un protocolo tecnológico que verifica el origen de un correo electrónico y garantiza que solo lleguen a una bandeja de entrada los correos electrónicos reales, provenientes de la empresa y la persona reales. Esta tecnología examina el origen del correo electrónico y verifica si efectivamente proviene de quien dice ser, y solo entonces autoriza su entrega al destinatario previsto. Los correos electrónicos que no se autentican o no pueden autenticarse no se entregan.

Al implementar DMARC, los correos electrónicos genuinos de una empresa llegarán a la bandeja de entrada del destinatario, y su nombre no quedará asociado con estafas ni fraudes. La entrega fluida y rápida de correos electrónicos legítimos es un factor importante para la productividad, y con DMARC la entrega de correo electrónico mejora enormemente.

DMARC tiene dos elementos funcionales fundamentales. En primer lugar, DMARC establece una política para los dominios que han sido autenticados mediante SPF (Sender-Policy Framework) y DKIM (Domain Keys Identified Mail). SPF verifica que los correos electrónicos coincidan con los servidores y las direcciones IP autorizadas vinculadas al propietario del dominio, mientras que DKIM verifica que un mensaje no haya sido manipulado, alterado o falsificado, mediante una clave de cifrado y una firma digital. La política de DMARC determina qué debe ocurrir cuando se recibe un correo electrónico no autorizado desde ese dominio. Si bien existen tres posibilidades de política —ninguna, cuarentena y rechazo—, solo con una política de rechazo una empresa está verdaderamente protegida.

Sendmarc ofrece una garantía estándar de alcanzar p=reject en un plazo de 90 días para todos los clientes gestionados, y configura los dominios de forma proactiva para garantizar una defensa continua frente a las nuevas amenazas a medida que surgen.

Sin embargo, las empresas no deben pensar que basta con establecer una política de “rechazo” para que todo siga igual. A menos que exista un análisis completo y adecuado, y un reporte constante del uso de todos los dominios registrados a nombre de la empresa, la entrega de correos electrónicos legítimos se verá gravemente afectada, ya que serán bloqueados, lo que provocará graves daños a la productividad, problemas en el servicio operativo y experiencias negativas para los clientes.

En segundo lugar, DMARC permite que los ISP generen reportes que ofrecen una visión completa del éxito o el fracaso de la autenticación del dominio. La plataforma de Sendmarc, desarrollada a medida, es totalmente compatible con todos los ISP y su integración es perfecta; su uso de procesos automatizados y la implementación de políticas permiten visibilidad y reporte en tiempo real de todos los correos electrónicos legítimos e ilegítimos que utilizan el nombre de dominio de un cliente.

Si bien DMARC es una combinación de SPF y DKIM, que añade las capas críticas de configuración de políticas y reporte, Sendmarc ofrece una capa adicional y potenciada a la defensa DMARC con BIMI (Brand Indicators for Message Identification), que se apoya en DMARC y en los protocolos de autenticación de correo electrónico. BIMI permite a las organizaciones mostrar un logotipo o imagen junto al nombre del remitente en los mensajes de correo electrónico.

Un logotipo o imagen debe estar «certificado», lo que implica un proceso de verificación mediante el cual el logotipo o la imagen quedan asociados y vinculados a una empresa y un dominio, y se emite un Certificado de Marca Verificada (VMC). El VMC se agrega al registro BIMI de la empresa para mostrar el elemento visual. Esto le otorga a la empresa control total sobre su logotipo o imagen asociada y añade una capa adicional de verificación a DMARC, brindando al destinatario una confianza visual inmediata en la autenticidad del correo electrónico.

Teniendo en cuenta que la suplantación de marca representa el 83 % de los ataques de spear phishing y que desde 2016 los ataques de suplantación y phishing por correo electrónico han les han costado a las empresas de todo el mundo $26 mil millones, es fundamental que las empresas no solo implementen DMARC, sino que también se aseguren de que los dominios estén correctamente configurados para usar DMARC y así detener a los ciberdelincuentes.

Sendmarc fue creado con el objetivo de implementar DMARC de forma fácil y completa. Cuenta con un único producto universal, lo que significa que cada cliente recibe el mismo conjunto completo de funciones y funcionalidades. Dado que todas las empresas enfrentan las mismas amenazas, Sendmarc cree que todas las empresas deben recibir el mismo nivel de protección.

Además de que las funciones y la funcionalidad del producto Sendmarc son idénticas para todos los clientes, también lo es su garantía. Y si bien el producto es idéntico para todos los clientes, vale la pena destacar que el análisis del dominio y del entorno de correo electrónico, la implementación de DMARC y el reporte continuo serán diferentes para cada empresa. Esto se debe a que la cantidad de nombres de dominio registrados, así como la cantidad de proveedores de servicios externos, varía para cada empresa desde unos pocos hasta varios cientos, lo que afecta la complejidad de la implementación.

Toda empresa, sin importar su tamaño, necesita saber si está protegida frente a los ciberdelincuentes suplantadores de identidad. Estos ciberdelincuentes son estafadores a tiempo completo, enfocados en robar a cualquier empresa que puedan, especialmente a aquellas que se lo ponen fácil. Sin excepción, las organizaciones deben invertir en tecnología para prevenir ataques exitosos y reforzar sus soluciones actuales de filtros de spam, software antivirus y otras soluciones de seguridad heredadas con DMARC, para impedir que los ciberdelincuentes engañen al destinatario del correo electrónico haciéndole creer que proviene de alguien de confianza o conocido. Podría tratarse de un colega, una marca o un socio/proveedor. Esa confianza puede entonces ser explotada para obtener beneficios ilícitos.

Enviar un correo electrónico es rápido y fácil, y es la herramienta más utilizada para la comunicación empresarial. Ahora también es la herramienta más utilizada por los ciberdelincuentes, y las estafas de compromiso de correo electrónico empresarial pueden prolongarse durante meses o incluso años antes de ser detectadas, causando, en algunos casos, daños financieros y reputacionales irreparables.

La ciberdelincuencia afecta a empresas de todos los continentes. Un reporte de Interpol sobre la ciberdelincuencia en Áfricaseñala que, entre enero de 2020 y febrero de 2021, “Sudáfrica … registró los mayores intentos de ransomware dirigido y BEC [business email compromise]”. Sin DMARC, una empresa es más vulnerable a ser víctima de estos ciberdelincuentes, que suplantan cuentas de correo electrónico o sitios web, o envían correos de spear phishing.

Descubre qué tan vulnerable eres frente a los ciberdelincuentes que utilizan el correo electrónico como su arma preferida, realizando la evaluación en línea autoadministrada de Sendmarc.