Suplantación de dominio vs. toma de control de cuentas: qué ataques BEC detiene DMARC

El compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés) representó casi 3050 millones de dólares en pérdidas en 2025, según el Informe de delitos en Internet de 2025 del Centro de Denuncias de Delitos en Internet (IC3) del FBI. Los equipos de seguridad responden a estos incidentes bajo presión, y la primera decisión es la más importante. Deben establecer si se suplantó el dominio o si se tomó el control de un buzón real.

Esa respuesta separa la suplantación de dominio de la toma de control de cuentas, y cada una requiere un control diferente. La aplicación completa de DMARC bloquea el correo no autenticado que suplanta su dominio exacto. No bloquea un mensaje enviado después de una toma de control de una cuenta de correo electrónico, cuando un atacante controla un buzón legítimo.

Este artículo compara la suplantación de dominio con la toma de control de cuentas, muestra qué detiene la aplicación de DMARC y explica qué aborda en su lugar la toma de control de cuentas de correo electrónico. Para conocer los pasos de contención, como el restablecimiento de contraseñas y la revocación de sesiones, consulte la guía de Sendmarc sobre BEC.

Qué detiene la aplicación de DMARC

DMARC aborda la vía de la suplantación. La etiqueta de política decide qué ocurre con el correo que no pasa DMARC: p=none lo entrega y envía reportes, p=quarantine pide a los receptores que lo traten como sospechoso y p=reject les pide que lo bloqueen.

La aplicación completa de DMARC en todos los dominios importa porque a un mensaje suplantado le basta con un dominio que no esté en p=reject. Considere una empresa hipotética con 40 dominios. Solo el dominio principal está en p=reject.

Los 12 dominios regionales están en p=quarantine, por lo que el correo suplantado se trata como sospechoso, pero aún puede llegar a la carpeta de spam o de correo no deseado. Los otros 27 están en p=none o no tienen registro DMARC, por lo que el correo suplantado llega a la bandeja de entrada.

Los dominios que no envían correo también deben incluirse, y el Centro Nacional de Ciberseguridad del Reino Unido recomienda p=reject para los dominios estacionados.

Primero hay que saber qué dominios y remitentes existen. Los servidores de correo receptores que admiten los reportes DMARC envían reportes agregados (rua) con los servidores que enviaron correo desde su dominio. Los remitentes no autorizados y las herramientas de TI en la sombra que rompen la autenticación también aparecen allí.

Cómo las credenciales comprometidas llevan a la toma de control de cuentas de correo electrónico

Las credenciales comprometidas llegan a los atacantes por varias vías. Las brechas en su organización o en sus terceros exponen direcciones de correo electrónico y contraseñas. El malware y los keyloggers en los dispositivos usados para aplicaciones de trabajo roban los datos de inicio de sesión. Las contraseñas reutilizadas permiten entonces que una sola exposición abra cuentas en otros lugares.

Nada de esto aparece en los datos de DMARC. El correo de una cuenta tomada por un atacante pasa la autenticación y parece tráfico normal en los reportes agregados. Sin monitoreo, la primera señal visible de una toma de control de una cuenta de correo electrónico puede ser la actividad del atacante.

El monitoreo de credenciales aborda esto. Breach Detection monitorea múltiples fuentes, incluida la dark web, en busca de credenciales expuestas y envía alertas una vez configuradas las notificaciones.

Cómo puede ayudar Sendmarc

Los equipos empresariales enfrentan tanto la suplantación de dominio como la toma de control de cuentas con poco tiempo y pocas personas. Gestionan remitentes desconocidos y TI en la sombra, políticas inconsistentes entre dominios y el riesgo de que la aplicación de la política interrumpa el correo legítimo. También carecen de una alerta temprana de credenciales comprometidas y dominios similares.

Sendmarc aborda cada problema al ofrecer:

Visibilidad de todos los remitentes. DMARC Management en la plataforma de Sendmarc muestra todos los dominios, remitentes y configuraciones de autenticación en un solo lugar, lo que respalda la aplicación de DMARC en todos los dominios. También identifica los remitentes no autorizados y la TI en la sombra que rompe la autenticación.

Aplicación de la política sin la carga de trabajo interna. El equipo de implementación de Sendmarc ofrece apoyo práctico y una ruta por etapas de p=none a p=reject, para que las comunicaciones críticas sigan fluyendo. El monitoreo y la optimización continúan después de la aplicación de la política, por lo que la protección se mantiene al día a medida que cambia el entorno.

Detección de lo que la autenticación no puede detener. Breach Detection detecta credenciales comprometidas antes de que permitan la toma de control de una cuenta de correo electrónico. Lookalike Domain Defense detecta dominios diseñados para suplantar su marca antes de que los atacantes los usen.

Explore DMARC Management y Breach Detection para ver cómo Sendmarc puede bloquear el correo suplantado y señalar las credenciales expuestas antes de que lleven a una toma de control de cuentas.