Triaje de un ataque de suplantación de correo: amenaza o error de configuración

Los registros de correo muestran mensajes rechazados, direcciones de remitente inusuales y caídas repentinas en la entrega. Estas señales pueden apuntar a un ataque de suplantación de correo en curso o a una desalineación, y cada caso requiere una respuesta distinta.

La primera señal de una campaña activa puede ser un intento de fraude en la bandeja de entrada de un directivo o un proveedor que llama para verificar una solicitud de pago inusual. Para entonces, la campaña de suplantación ya ha tenido tiempo de actuar. Reconocer a tiempo las señales de suplantación de correo, y saber cómo hacer su triaje, es lo que separa un incidente evitado de un informe de incidente.

Esta guía de triaje de suplantación de correo está dirigida a administradores de correo, equipos de operaciones de seguridad y responsables de riesgos que necesitan pasar con rapidez de la señal a la decisión. Organiza los indicadores de suplantación en tres niveles operativos.

Cada nivel que sigue depende de que los datos de los informes DMARC lleguen a su equipo. Use el comprobador gratuito de registros DMARC para confirmar su política actual y las direcciones de informes antes de iniciar el triaje de suplantación de correo.

Cambios repentinos en el volumen agregado de correo

Un pico en el volumen de correo atribuido a su dominio, sobre todo desde rangos de IP que usted no controla, es un indicio temprano fiable de suplantación. Las campañas de suplantación suelen crecer con rapidez. Si su dominio envió 5.000 mensajes ayer y sus datos agregados muestran hoy 40.000 intentos desde IP no reconocidas, el propio volumen es la señal.

Este patrón es distinto de un error de configuración. Un registro SPF roto no genera picos de volumen. Genera fallos de entrega con volúmenes constantes.

Nivel 2: patrones de fallos de autenticación

Los datos de fallos de autenticación son donde la mayoría de los equipos buscan señales de suplantación de correo. Sin embargo, no todos los fallos de DMARC significan lo mismo, y el tipo de fallo indica si se trata de un error de configuración o de un ataque de suplantación de correo en curso.

SPF correcto, DKIM con fallo (desalineación)

Si SPF es correcto pero DKIM falla, y la alineación DMARC sigue fallando, suele apuntar a una ruta de reenvío o a un problema de firma en un remitente legítimo. El mensaje se originó en una IP autorizada, pero no se firmó correctamente.

Normalmente es un problema de configuración, no una señal de amenaza. Priorice corregir la configuración de firma DKIM de ese remitente en lugar de tratarlo como un incidente activo.

SPF con fallo, DKIM con fallo (fallan ambos controles de autenticación)

Cuando fallan tanto SPF como DKIM, el mensaje procede de un remitente totalmente no registrado o de un actor externo. Es el patrón que se correlaciona más directamente con un ataque de suplantación de correo en curso.

Indicadores de suplantación que conviene documentar, muchos de los cuales también aparecen al leer los encabezados del correo:

Si este patrón aparece mientras su política DMARC está en p=none, su dominio está en modo de supervisión mientras se ejecuta un ataque de suplantación de correo. Avanzar hacia la aplicación es lo que impide que se entregue el correo suplantado. La supervisión por sí sola no lo bloquea.

SPF softfail (~all) con DKIM correcto

Esta combinación es ambigua. Un softfail significa que la IP de envío no está autorizada de forma explícita, pero tampoco está denegada de forma explícita. Si DKIM es correcto y la alineación DMARC se mantiene mediante DKIM, el mensaje pasará DMARC.

Los patrones de softfail no indican suplantación de forma directa. Sí muestran un límite de autorización impreciso que una campaña de suplantación puede aprovechar. Cambie ~all por -all una vez confirmado su inventario de remitentes autorizados, y valide su registro actual con un comprobador de registros SPF antes de hacer ese cambio.

Nivel 3: indicadores de suplantación basados en el comportamiento

Algunos de los indicadores de suplantación más útiles proceden de patrones de comportamiento en los datos de los informes DMARC y de señales comunicadas por los usuarios. A menudo son las primeras pistas de que un ataque de suplantación de correo apunta a los contactos, proveedores o empleados de su empresa.

Grupos de fallos en subdominios o departamentos concretos

Los informes agregados DMARC pueden revelar si los fallos de autenticación se concentran en un subdominio concreto, como billing.sudominio.com o hr.sudominio.com. Esa especificidad sugiere un ataque de suplantación de correo dirigido y no una suplantación oportunista.

Los intentos de suplantación genéricos suelen usar su dominio principal. Los fallos concentrados en un subdominio de finanzas o de recursos humanos sugieren que el atacante ha investigado la estructura de su organización. Este patrón se correlaciona directamente con los intentos de compromiso del correo empresarial (BEC).

Dominios similares comunicados por los usuarios

Cuando empleados, clientes o proveedores informan de correos que parecen proceder de su empresa pero resultan sospechosos, compare la dirección “From” comunicada con sus dominios registrados. Variaciones sutiles como un guion añadido, una sustitución de caracteres o un dominio de nivel superior distinto apuntan a actividad de dominios similares, no a una suplantación directa de su dominio exacto.

Aumento repentino de rebotes hacia su dominio

Los informes de no entrega (NDR) de mensajes que usted nunca envió son una señal de retrodispersión. Una campaña de suplantación está usando su dominio y los servidores remotos le devuelven esos mensajes. Los grandes volúmenes de NDR inesperados son un indicador fiable de nivel tres de que su dominio forma parte de un ataque de suplantación de correo en curso.

Por qué importa separar los indicadores de suplantación de los errores de configuración

Tratar cada fallo de autenticación como un indicador de suplantación malgasta ciclos de triaje y retrasa la corrección de problemas de configuración legítimos. Tratar cada problema de configuración como inofensivo hace pasar por alto campañas activas. El marco de tres niveles mantiene separados esos dos problemas.

La exposición al cumplimiento normativo es una preocupación secundaria, pero real. Un dominio usado en campañas de fraude activas mientras su política DMARC permanece en p=none es difícil de defender en una auditoría o en una revisión de incidentes. Los comités de riesgos y los consejos preguntan cada vez más por la autenticación del correo, y un proceso de triaje documentado con una hoja de ruta hacia la aplicación demuestra supervisión operativa.

Para las organizaciones que gestionan varios dominios en distintas unidades de negocio, este proceso de diagnóstico se ejecuta de forma independiente en cada dominio.

Cómo ayuda Sendmarc

El triaje de suplantación de correo es más rápido cuando los datos de los informes ya están organizados. Los equipos de seguridad y de TI, con recursos limitados, no pueden permitirse correlacionar manualmente archivos XML sin procesar y exportaciones de registros de decenas de dominios. La solución de gestión de DMARC de Sendmarc recopila y analiza los informes agregados de todos los dominios.

Las empresas distribuidas suelen descubrir remitentes desconocidos solo después de que causen fallos. Sendmarc identifica todas las fuentes que envían en nombre de sus dominios en unidades de negocio, regiones y proveedores externos, y muestra cuáles superan o no SPF y DKIM.

Su equipo puede entonces distinguir los remitentes no autorizados de los autorizados que necesitan correcciones de configuración, y escalar solo las señales que apuntan a un ataque de suplantación de correo.

Pasar de la detección a la aplicación es donde se estancan muchas empresas, normalmente por preocupación por las comunicaciones críticas, como los correos de facturación y de notificación. El enfoque por fases de Sendmarc, de p=none a p=reject, confirma que esos sistemas se autentican correctamente antes de endurecer la política.

La protección no termina con la aplicación. Lookalike Domain Defense supervisa los dominios que suplantan su marca y avisa a su equipo de nuevas permutaciones de dominio, cubriendo el vector que DMARC no puede alcanzar. La supervisión y los informes continuos también le ofrecen un registro creíble de avances para presentar a los comités de auditoría y de riesgos y a los consejos, y reducen la probabilidad de que la configuración se desvíe.

Explore DMARC Management para ver cómo Sendmarc organiza los datos de los informes agregados en su cartera de dominios.