23 Oct 20264 minutes read
Kiara SaloojeeEntusiasta de DMARCCómo las estafas electorales explotan identidades de confianza y qué hacer
Resumen sobre las estafas electorales:
- Las estafas electorales triunfan porque se apropian de identidades en las que la gente ya confía.
- Las herramientas de IA eliminan los errores que antes delataban los correos de phishing.
- Configure DMARC en p=reject para bloquear el correo no autenticado que usa su dominio.
- Mantenga estos controles mucho más allá de la temporada electoral.
Dos alertas del FBI emitidas en octubre de 2026, una de ellas conjunta con la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), advierten de amenazas de cara a las elecciones de mitad de mandato de EE. UU. del 3 de noviembre. Una alerta advierte a votantes y donantes sobre las estafas electorales. La otra advierte sobre el phishing a funcionarios electorales y de campaña, así como a candidatos.
Ambas alertas describen el mismo patrón. Las estafas electorales triunfan porque se apropian de la identidad de una persona u organización en la que el objetivo ya confía. La alerta conjunta incluye además orientaciones que abarcan la autenticación del correo.
Sobre qué advirtieron el FBI y la CISA en materia de estafas electorales
Estafas electorales dirigidas a votantes y donantes
El 15 de octubre, el FBI publicó I-101526-3-PSA. Advierte de que las estafas electorales usan los nombres, imágenes, logotipos y eslóganes de los candidatos para solicitar donaciones falsas, vender mercancía que nunca se envía y robar información de identificación personal (PII).
La alerta detalla cuatro ejemplos de estafas electorales:
- Fondos de inversión de campaña que prometen un pago cuando gane un candidato
- Solicitudes que se hacen pasar por comités de acción política (PAC) legítimos
- Mercancía política que nunca se envía
- Correos y mensajes de texto de registro de votantes que enlazan a páginas de registro falsas
Phishing dirigido a funcionarios electorales y de campaña
Un día después, el FBI y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) emitieron el PSA conjunto I-101626-PSA. Señala a los funcionarios electorales, los candidatos y los grupos políticos como objetivos atractivos. Su acceso a datos de registro de votantes, a funcionarios del gobierno en activo o a información de campaña los hace valiosos para los atacantes.
Los atacantes usan correos de phishing y smishing (phishing por mensaje de texto) para robar credenciales de acceso y otros datos sensibles.
Según las agencias, los funcionarios electorales vieron un aumento de los intentos de phishing durante los dos últimos ciclos electorales.
Cómo la IA hace más convincentes las estafas electorales
La mayoría de estas estafas electorales se basan en la suplantación. Los estafadores se apropian de las identidades de candidatos, campañas, entidades gubernamentales y contactos de confianza.
El phishing con IA no cambia lo que las estafas electorales intentan conseguir. Cambia lo convincentes que parecen. Los correos de phishing solían delatarse por faltas de ortografía, vocabulario extraño y mala gramática.
Según el PSA conjunto, las herramientas de IA que denomina superinteligencia (SI) eliminan esas señales y permiten a los atacantes lanzar campañas mayores. El audio y el vídeo deepfake también ayudan a los atacantes a suplantar a personas reales. Cuando el contenido ya no delata una falsificación, la identidad del remitente importa más. Eso convierte la autenticación del remitente en un elemento central de la seguridad del correo.
Qué recomiendan el FBI y la CISA
Las medidas de seguridad del correo del PSA conjunto incluyen filtros antispam potentes, avisos en el correo externo, formación de los empleados y un proceso para notificar a TI los mensajes sospechosos.
El PSA también recomienda SPF y DKIM para ayudar a limitar la suplantación del dominio de una empresa en los correos de phishing. Ambos son esenciales para la seguridad del correo. Ninguno es un control completo por sí solo:
- SPF enumera los servidores autorizados a enviar correo en nombre de un dominio.
- DKIM añade una firma que los servidores receptores verifican con una clave publicada en el DNS.
DMARC se apoya en SPF y DKIM. Comprueba que el dominio autenticado por SPF o DKIM se alinee con la dirección “From” que ven los destinatarios. También permite al propietario del dominio publicar una política que indica a los servidores receptores cómo tratar el correo que falla:
- p=none deja pasar el correo que falla, para que el propietario del dominio pueda monitorizar los resultados mediante los reportes DMARC.
- p=quarantine pide a los servidores receptores que traten el correo que falla como sospechoso.
- p=reject pide a los servidores receptores que bloqueen el correo que falla antes de que llegue a la bandeja de entrada.
La propia lista de recursos del PSA respalda este paso. Remite a la guía sobre phishing «Detener el ciclo de ataque en la primera fase», publicada por la CISA, el FBI y sus socios. Esa guía recomienda que las empresas activen DMARC.
Qué enseñan las estafas electorales a las empresas
Las estafas electorales triunfan porque se apropian de identidades de confianza. Los ataques contra las empresas funcionan igual. El Informe de delitos en internet de 2025 del FBI advierte de que las herramientas de chat con IA permiten a los atacantes redactar rápidamente correos que parecen proceder del director general de una organización o de otros directivos.
Las estafas electorales son un señuelo oportuno, pero las técnicas no terminan el 3 de noviembre.
Cualquier empresa con un dominio de confianza puede aplicar estos principios:
- Autentique a todos los remitentes legítimos.
- Configure su política DMARC en p=reject.
- Monitorice los dominios no autorizados.
Proteja su dominio frente a la suplantación
El fraude por correo, incluidas las estafas electorales, funciona porque la gente confía en los nombres que hay detrás. La aplicación total de DMARC mantiene fuera de las bandejas de entrada el correo no autenticado que usa su dominio, de modo que los atacantes no pueden usar su dominio exacto para llegar a sus destinatarios.
Sendmarc ayuda a los equipos de seguridad de gobiernos y empresas a alcanzar la aplicación total y a mantenerla:
- Reduzca el riesgo de fraude en entornos distribuidos: La gestión de DMARC lleva sus dominios a p=reject, de modo que el correo no autenticado que usa su dominio no llega a las bandejas de entrada.
- Obtenga visibilidad de todos los remitentes: identifique a los remitentes legítimos y no autorizados, incluidas las herramientas de TI en la sombra que rompen la autenticación.
- Reduzca la carga de trabajo de los equipos al límite: el apoyo práctico en la implementación y un enfoque por etapas de p=none a p=reject mantienen fluidas las comunicaciones críticas.
- Siga protegido a medida que cambia su entorno: la monitorización y la optimización continuas siguen después de que alcance p=reject.
Descubra cómo Sendmarc lleva sus dominios a p=reject y los mantiene protegidos.
