05 Nov 20265 minutes read
SendmarcCómo investigar un correo falso y bloquear el siguiente
Resumen sobre el correo falso:
- Hasta que un dominio llega a p=reject, un correo falso que lo usa puede seguir llegando a los destinatarios.
- Para investigar un correo sospechoso, lea el encabezado Authentication-Results.
- Un correo falso se cuela cuando DMARC está en p=none, SPF termina en
+allo un subdominio tiene una política débil. - Para bloquear el correo falso, elabore un inventario completo de remitentes y pase después SPF a
-ally DMARC a p=reject.
Los empleados pueden detectar un correo sospechoso en segundos, pero los resultados de autenticación están en los encabezados del mensaje, que los clientes de correo no muestran por defecto. Ahí es donde un correo falso tiene éxito.
Cuando DMARC está en p=none, nada indica a los servidores receptores que bloqueen o pongan en cuarentena los mensajes que fallan la autenticación. Un correo falso convincente aún puede entregarse, sin ninguna advertencia para el destinatario.
Este manual está pensado para CISO, administradores de TI y analistas de SOC. Explica un proceso de clasificación para un correo sospechoso notificado y las correcciones de las debilidades que lo dejaron pasar.
Pase sus dominios por el verificador de registros DMARC de Sendmarc para ver si sus registros SPF, DKIM y DMARC los dejan expuestos al correo falso.
Si está en riesgo de suplantación, uno de nuestros expertos se pondrá en contacto para ayudarle.
Por qué la formación de concienciación por sí sola no detiene un correo falso
La formación de concienciación enseña a los empleados a buscar erratas, nombres de remitente inusuales y lenguaje urgente. Eso cubre una clase limitada de ataque. Un correo falso que usa su dominio exacto, o un dominio similar convincente, puede parecer impecable.
Cualquier servidor puede poner su dominio en la dirección “From”. SPF, DKIM y DMARC permiten a los receptores verificar esa afirmación, pero solo una política DMARC de p=quarantine o p=reject les pide actuar cuando un mensaje falla la autenticación.
Hasta que un dominio llega a p=reject, un correo falso que lo usa puede seguir llegando a los destinatarios. En finanzas, eso puede significar una transferencia redirigida. En sanidad, puede significar una solicitud de historiales de pacientes. En telecomunicaciones, puede significar un flujo de aprovisionamiento alterado. Cada correo sospechoso notificado se convierte entonces en una investigación manual para un equipo de seguridad ya al límite.
Cómo comprobar un correo falso con SPF, DKIM y DMARC
Abra el encabezado Authentication-Results, que enumera los resultados de SPF, DKIM y DMARC, como superado o fallido.
DMARC solo se supera cuando SPF o DKIM se superan y el dominio autenticado se alinea con el dominio del encabezado “From”. Un correo sospechoso puede mostrar spf=pass para un dominio de terceros y dmarc=fail, porque ese dominio no coincide con el encabezado “From”. Este es el patrón más habitual en un correo falso que elude la detección de los usuarios. Cada comprobación se supera, la alineación falla y la política nunca exigió actuar.
A continuación, compruebe la política del dominio del encabezado “From” con el verificador de registros DMARC de Sendmarc. Un registro como v=DMARC1; p=none; rua=mailto:[email protected] significa que el propietario del dominio recopila datos pero no pide ninguna acción. Un registro con p=reject pide a los receptores que rechacen los mensajes que fallan DMARC.
Pasos de clasificación de TI para un correo sospechoso
- Lea el encabezado Authentication-Results y anote el resultado de DMARC.
- Si DMARC falló, determine si SPF o DKIM se superaron o fallaron por completo.
- Consulte la política DMARC del dominio “From” con el verificador de registros DMARC de Sendmarc.
- Si el dominio “From” pertenece a otra organización, notifíquele el mensaje.
- Si el dominio “From” es suyo, compare la IP de envío con su registro SPF y con sus
includes. - Si su propio dominio no está en p=reject, trate la entrega como un fallo de política y comience la corrección.
Causas habituales de que un correo falso llegue a la bandeja de entrada
- p=none que se queda así: la monitorización es una fase de diagnóstico, no un control de seguridad. Muchas empresas se quedan ahí porque no confían en su inventario de remitentes.
- SPF que termina en
+all: esto indica a los receptores que acepten correo de cualquier servidor. Un correo falso enviado desde cualquier lugar puede entonces superar SPF. - Política de subdominios incoherente: los subdominios heredan la política del dominio principal a menos que publiquen su propio registro o que el registro del dominio principal incluya una etiqueta
sp=. Un subdominio con su propio registro p=none, o con una etiquetasp=none, queda abierto a un correo falso incluso cuando el dominio principal está en p=reject.
Cómo impedir que un correo falso llegue a la bandeja de entrada
- Elabore un inventario completo de remitentes. Recoja todas las fuentes legítimas antes de cambiar la política, incluidas la automatización de marketing, los sistemas de RR. HH., los servicios de correo transaccional y las herramientas de CRM.
- Pase a la aplicación por etapas. Avance de p=none a p=quarantine y a p=reject, revisando los reportes en cada etapa para que las comunicaciones críticas sigan fluyendo.
- Endurezca la política SPF por etapas. Termine el registro en
~all(fallo suave) mientras confirma el inventario de remitentes y pase después a-all(fallo) cuando todos los remitentes legítimos estén enumerados. - Confirme la cobertura de los subdominios. Verifique que cada subdominio, activo o inactivo, herede una política de aplicación o tenga la suya.
Cómo puede ayudar Sendmarc a detener el correo falso
Cada paso anterior depende de una lista exacta de todos los remitentes autorizados a usar su dominio. Mantener esa lista al día en varios dominios, unidades de negocio y herramientas de terceros requiere un tiempo del que los equipos de seguridad y TI al límite a menudo no disponen.
La plataforma de Sendmarc ayuda de tres maneras:
- Visibilidad: la gestión de DMARC identifica a los remitentes legítimos y no autorizados, incluida la TI en la sombra, y detecta las configuraciones erróneas de SPF, DKIM y DMARC antes de que se conviertan en incidentes.
- Aplicación sin carga de trabajo adicional: Sendmarc garantiza p=reject, con apoyo práctico en la implementación en cada etapa y monitorización y optimización continuas después.
- Protección ampliada: Defensa contra dominios similares detecta los dominios creados para suplantar su marca antes de que se usen en ataques. Detección de filtraciones identifica las credenciales de empleados comprometidas.
Descubra cómo la plataforma de Sendmarc ayuda a su equipo a elaborar un inventario completo de remitentes y ofrece apoyo práctico en cada etapa de la aplicación, para que un correo falso que use su dominio se bloquee antes de llegar a una bandeja de entrada.
