Direcciones de correo fraudulentas: señales de detección y controles para cada tipo

Algunas direcciones de correo fraudulentas fallan la autenticación y aun así llegan a la bandeja de entrada porque el dominio suplantado no tiene aplicación de DMARC. Otras superan SPF, DKIM y DMARC porque el atacante controla un dominio similar o una cuenta de correo comprometida. En ambos casos, el mensaje llega al destinatario con apariencia legítima.

Las direcciones de correo fraudulentas que usan su dominio exacto solo llegan a las bandejas de entrada cuando falta la aplicación de DMARC. Compruebe el estado de aplicación de su dominio con el verificador de registros DMARC de Sendmarc para confirmar si los atacantes pueden enviar hoy como su dominio.

Dónde detiene DMARC las direcciones de correo fraudulentas y dónde no

SPF, DKIM y DMARC confirman que un mensaje está autorizado a usar el dominio de su encabezado "From". Una política p=reject indica a los servidores receptores que rechacen los mensajes que afirman ser de su dominio exacto pero no superan DMARC. Esa política bloquea la suplantación del dominio exacto.

La autenticación no evalúa si el titular de un dominio es de fiar. Un atacante que registra un dominio similar puede publicar registros SPF, DKIM y DMARC para él, así que el correo de ese dominio supera la autenticación. Una cuenta de correo comprometida la supera porque el mensaje sale de su infraestructura autorizada.

Tres tipos de direcciones de correo fraudulentas y cómo detectarlas

Las direcciones de correo fraudulentas se dividen en tres tipos.

1. Direcciones suplantadas en su propio dominio

El atacante usa su dominio exacto y envía desde una infraestructura que usted no controla. No hace falta registrar un dominio ni acceder a una cuenta. El mensaje falla la alineación SPF y DKIM.

Su política DMARC decide qué ocurre a continuación. Con p=none, los servidores receptores no toman ninguna medida con el correo que falla. Con p=reject, reciben la instrucción de rechazarlo.

Los subdominios siguen la misma lógica. Sin una etiqueta sp= explícita, los subdominios heredan la política p=. Una etiqueta sp=none deja direcciones como [email protected] expuestas a la suplantación, incluso cuando el dominio raíz está en p=reject.

Señal de detección: los reportes agregados de DMARC enumeran cada fuente que envía correo en nombre de su dominio, con los resultados de SPF y DKIM de cada una. Las fuentes que fallan la autenticación y no coinciden con un remitente conocido son la señal. Estos reportes solo revelan amenazas cuando alguien los revisa con una periodicidad fija.

2. Dominios similares

Los atacantes registran un dominio similar al suyo. Los patrones habituales incluyen la sustitución de caracteres (rn por m, 0 por o), la inserción de guiones (su-empresa.com), un dominio de nivel superior distinto (suempresa.io) y palabras añadidas (suempresa-pagos.com). Después el atacante publica registros SPF, DKIM y DMARC para el nuevo dominio. El correo que sale de él supera la autenticación.

Señal de detección: los dominios similares nunca aparecen en sus reportes DMARC porque usted no es su titular. La detección depende de una monitorización externa de los dominios recién registrados que se parecen a su marca.

3. Cuentas de correo comprometidas

El atacante obtiene credenciales válidas mediante phishing o una filtración de terceros. Después inicia sesión en una cuenta real. Los mensajes de una cuenta de correo comprometida salen de su propia infraestructura, así que SPF pasa, DKIM firma y DMARC se alinea.

Señal de detección: los reportes agregados de DMARC no marcarán estos mensajes porque se autentican correctamente.

Las señales son de comportamiento:

Las credenciales expuestas pueden aparecer en datos de filtraciones antes de que un atacante las use. Monitorizar las credenciales expuestas de los empleados permite a los equipos restablecer las contraseñas antes de que los atacantes inicien sesión con ellas.

Controles para cada tipo de dirección de correo fraudulenta

Cada tipo de dirección de correo fraudulenta necesita un control distinto. Los cambios en su propio DNS detienen la suplantación del dominio exacto. Los demás tipos requieren procesos de monitorización y verificación.

Cómo puede ayudar Sendmarc

Detectar cada tipo de dirección de correo fraudulenta exige visibilidad tanto sobre sus propios dominios como más allá de ellos. Los equipos de seguridad y TI, ya sobrecargados, que gestionan entornos distribuidos no pueden cubrir esa superficie con auditorías manuales de DNS. La monitorización continua de credenciales expuestas y dominios similares añade aún más carga de trabajo.

La Gestión de DMARC de Sendmarc ofrece visibilidad unificada de las configuraciones de SPF, DKIM y DMARC en dominios raíz, subdominios y dominios inactivos. Los datos de los reportes agregados se analizan automáticamente, de modo que los remitentes no autorizados que afirman ser su dominio salen a la luz sin investigación manual.

Defensa contra dominios similares monitoriza los dominios recién registrados que se parecen al suyo y avisa a su equipo de seguridad. Detección de filtraciones monitoriza varias fuentes, incluida la dark web, en busca de credenciales de empleados expuestas. Los equipos pueden actuar antes de que una cuenta de correo comprometida se use contra clientes o socios.

Para los equipos de riesgos y cumplimiento, los reportes de Sendmarc asocian el estado de autenticación a cada dominio. Esos reportes respaldan las presentaciones al consejo, las actualizaciones a los comités y la documentación de auditoría.

La suplantación del dominio exacto, los dominios similares y las cuentas de correo comprometidas necesitan, cada uno, un control distinto. Explore la Gestión de DMARC, la Defensa contra dominios similares y la Detección de filtraciones para ver cómo Sendmarc bloquea la suplantación del dominio exacto, detecta los dominios creados para suplantar su marca y saca a la luz las credenciales de empleados expuestas antes de que los atacantes las usen.