2 oct 20264 minutos leídos
Kiara SaloojeeEntusiasta de DMARCLa advertencia del FBI sobre las estafas de suplantación también se aplica a su marca
Resumen:
- Las pérdidas notificadas por estafas de suplantación de entidades gubernamentales superaron los 1.600 millones de dólares.
- Las estafas de suplantación se apropian de una identidad en la que las víctimas ya confían.
- Cualquier empresa de confianza se enfrenta a los mismos fraudes.
Casi 61.000 denuncias sobre estafas de suplantación de entidades gubernamentales llegaron al Centro de Denuncias de Delitos en Internet (IC3) del FBI entre enero de 2025 y julio de 2026. Las pérdidas notificadas superaron los 1.600 millones de dólares. El FBI compartió estas cifras en un PSA el 17 de septiembre de 2026.
El anuncio advierte de estafas de suplantación en las que los ciberdelincuentes se hacen pasar por funcionarios estadounidenses y extranjeros para exigir dinero o información de identificación personal (PII).
El FBI describe estos fraudes como continuos y generalizados. Funcionan porque las víctimas confían en la identidad que se falsifica. Esa confianza no es exclusiva de los organismos gubernamentales, y tampoco lo son estos fraudes.
Cómo Funcionan las Estafas de Suplantación de Entidades Gubernamentales
La mayoría de las estafas de suplantación de entidades gubernamentales comienzan con una llamada telefónica no solicitada. También se usan mensajes de texto y correos electrónicos. Según el FBI, los estafadores suelen falsificar números de teléfono y direcciones de correo electrónico reales de las agencias. También utilizan los nombres de empleados reales y presentan credenciales falsas.
Los fraudes de suplantación de entidades gubernamentales se basan en la presión. Los estafadores usan un tono urgente y agresivo y mantienen a las víctimas al teléfono mientras dura la estafa. A menudo les dicen que no hablen con familiares, amigos, bancos ni con las fuerzas del orden. Las exigencias de pago en estos fraudes incluyen tarjetas prepago, transferencias bancarias y criptomonedas.
Algunas denuncias por suplantación de entidades gubernamentales implican a un estafador que acusa a la víctima de un delito y amenaza con detenerla si no paga. El PSA también recoge otros fraudes de suplantación de entidades gubernamentales:
- Estafas de citación como jurado y de audiencias judiciales perdidas: 6.833 denuncias y casi 36 millones de dólares en pérdidas
- Estafas de renovación de pasaportes y licencias: 496 denuncias y más de 348.000 dólares en pérdidas
- Estafas de licencias médicas dirigidas a profesionales: 3.322 denuncias y más de 37 millones de dólares en pérdidas
- Estafadores que se hacen pasar por funcionarios extranjeros: 1.809 denuncias y más de 140 millones de dólares en pérdidas
Algunos fraudes también usan IA para que los estafadores aparezcan como funcionarios en videollamadas. Esto hace que la suplantación de entidades gubernamentales sea más difícil de detectar.
Por Qué las Estafas de Suplantación Apuntan a Nombres de Confianza
Las estafas de suplantación funcionan apropiándose de una identidad en la que la víctima ya confía. Los estafadores usan después esa confianza para exigir dinero o datos.
Los organismos gubernamentales no son las únicas organizaciones con este tipo de autoridad. Los clientes confían en que su banco, aseguradora, proveedor de salud y despacho de abogados se pongan en contacto con ellos desde un dominio oficial para hablar de pagos, cuentas y datos personales. Cualquier empresa con ese nivel de confianza está expuesta a los mismos fraudes.
Cómo Pueden las Estafas de Suplantación Usar su Dominio Oficial
En las estafas de suplantación de entidades gubernamentales, el FBI afirma que los estafadores falsifican las direcciones de correo electrónico de agencias reales. Estos mensajes parecen proceder del dominio oficial de la agencia.
Las empresas se enfrentan al mismo riesgo con sus propios dominios. Los atacantes pueden enviar correo que utiliza sus dominios oficiales para suplantar a su marca ante clientes, socios y empleados.
DMARC aborda este riesgo. Se basa en dos verificaciones:
- SPF confirma que el servidor emisor está autorizado para enviar correo en nombre de su dominio.
- DKIM añade una firma digital que confirma que el mensaje no se alteró en tránsito.
Un correo pasa DMARC cuando SPF o DKIM pasan y se alinean con el dominio de la dirección «De». Con la aplicación total (p=reject), su política DMARC indica a los servidores receptores que rechacen el correo que no supera estas verificaciones.
DMARC no detiene los dominios similares. Los atacantes registran estos dominios y controlan su configuración de autenticación. Esos dominios no son su dominio oficial, por lo que su política DMARC no se aplica a ellos. Los fraudes que usan dominios similares pueden continuar incluso después de alcanzar la aplicación de DMARC.
Los Límites de la Autenticación de Correo frente a las Estafas de Suplantación
La advertencia del FBI muestra que las estafas de suplantación de entidades gubernamentales se extienden por muchos canales. Las llamadas telefónicas, los mensajes de texto y las videollamadas con IA quedan fuera de la autenticación de correo. Además, los servidores receptores no están obligados a seguir su política DMARC.
La autenticación de correo protege su dominio oficial. La supervisión de dominios similares extiende la protección del correo a dominios que DMARC no cubre. Los fraudes que usan llamadas telefónicas, mensajes de texto o videollamadas requieren controles distintos.
Proteger su Marca de las Estafas de Suplantación por Correo
Las estafas de suplantación por correo se aprovechan de la confianza que las personas depositan en su dominio oficial. Proteger esa confianza frente a los fraudes requiere aplicación de políticas, visibilidad y supervisión continua.
Sendmarc le ayuda a:
- Proteger la reputación de su marca frente a la falsificación y la suplantación. La Gestión de DMARC de Sendmarc lleva su dominio oficial a p=reject por etapas.
- Identificar dominios similares que suplantan a su empresa. Lookalike Domain Defense detecta dominios diseñados para imitar su dominio oficial.
- Obtener visibilidad y control sobre cada herramienta de envío de correo. Sendmarc identifica a todos los remitentes legítimos y no autorizados que usan su dominio oficial.
- Mantener una supervisión continua tras la aplicación. La protección continúa a medida que cambia su entorno de correo y surgen nuevos fraudes.
- Reducir la carga de trabajo de los equipos de seguridad y TI sobrecargados. El apoyo práctico en la implementación significa que su equipo no necesita convertirse en experto en DMARC.
Descubra qué tan expuesto está su dominio oficial a las estafas de suplantación.
Pruebe su dominio
Si está en riesgo de suplantación, uno de nuestros expertos se pondrá en contacto para ayudarle.
