28 Oct 20265 minutes read
Waseem OsmanEspecialista en DMARCLos ataques de ingeniería social empiezan con el reconocimiento en redes sociales
Resumen sobre los ataques de ingeniería social:
- El reconocimiento en redes sociales da a los atacantes lo que necesitan para suplantar a alguien en quien confían sus empleados.
- La formación no puede detectar de forma fiable una suplantación convincente, pero p=reject bloquea los correos que fallan la autenticación.
- Los dominios similares, la suplantación del nombre visible y los buzones comprometidos quedan fuera de lo que cubre DMARC.
- Los atacantes pueden consultar su DNS, y configuraciones como p=none y
+alldejan su dominio expuesto a la suplantación. - Llegue a p=reject por etapas y siga monitorizando los nuevos remitentes y los dominios similares.
Los ataques de ingeniería social empiezan con una investigación, y casi toda es gratuita. Los atacantes leen perfiles de LinkedIn, ofertas de empleo y anuncios de equipo para saber quién ocupa cada puesto, quién depende de quién y qué herramientas usa el área de finanzas.
Los atacantes usan el reconocimiento en redes sociales para reunir esos datos y luego redactan correos que parecen proceder de un directivo o un compañero en quien sus empleados ya confían.
El impacto económico es medible. El Informe de delitos en internet de 2025 del FBI registró 24.768 denuncias de compromiso del correo empresarial (BEC) y pérdidas declaradas de casi 3.050 millones de dólares. La formación de concienciación ayuda, pero no puede detener de forma fiable un mensaje suplantado que parece auténtico. La aplicación total de DMARC sí puede, porque bloquea el correo que falla la autenticación antes de que llegue a una bandeja de entrada.
Compruebe lo expuesto que está su dominio a la suplantación con el verificador de dominios gratuito de Sendmarc, que devuelve valoraciones de suplantación, privacidad y marca de su dominio en menos de un minuto.
Si está en riesgo de suplantación, uno de nuestros expertos se pondrá en contacto para ayudarle.
Cómo el reconocimiento en redes sociales impulsa los ataques de ingeniería social
La inteligencia de fuentes abiertas (OSINT) es el proceso de recopilar y analizar información de fuentes públicas. En los ataques de ingeniería social, la OSINT es la fase de investigación. El marco MITRE ATT&CK incluye la búsqueda en redes sociales como técnica de reconocimiento y señala que estos sitios pueden contener anuncios de la empresa y datos sobre los puestos, las ubicaciones y los intereses del personal.
Imagine a un atacante que quiere un pago fraudulento de su equipo de finanzas. En LinkedIn encuentra al director financiero (CFO), que puede aprobar pagos, y a un empleado de cuentas por pagar (AP), que los procesa. Una sola dirección de correo publicada, como [email protected], muestra cómo su organización da formato a las direcciones.
Después, el atacante escribe al responsable de AP desde lo que parece la dirección exacta del CFO. El mensaje nombra la plataforma ERP correcta y pide un pago urgente a una nueva cuenta de proveedor. Nada en el correo parece raro porque el atacante ya hizo su investigación.
A qué puestos apuntan primero los ataques de ingeniería social
El reconocimiento en redes sociales clasifica a los empleados según su acceso al dinero, a los datos o a la autoridad. Estos son los puestos que más se atacan en los ataques de ingeniería social:
- Finanzas y cuentas por pagar. Los fraudes BEC suelen girar en torno a solicitudes de pago, así que estos equipos son la vía más directa hacia una transferencia fraudulenta.
- RR. HH. y nóminas. Una solicitud suplantada de un empleado para cambiar los datos del ingreso de la nómina solo necesita un nombre y una dirección verosímil.
- TI y seguridad. Un correo que parece proceder de TI o de seguridad y pide al personal que verifique o restablezca su contraseña da al atacante una vía hacia las credenciales.
- Asistentes de dirección. Los asistentes ejecutan habitualmente solicitudes en nombre de un directivo, como compartir documentos o gestionar pagos, de modo que un correo que parece proceder del directivo puede desencadenar esas acciones.
Cómo la autenticación del correo verifica al remitente
El reconocimiento en redes sociales de un atacante puede revelar un nombre, un cargo y un estilo de escritura. No puede demostrar que un mensaje procede de su infraestructura.
- SPF enumera los servidores autorizados a enviar correo en nombre de su dominio. El servidor de un atacante no figura en esa lista.
- DKIM firma los mensajes salientes con una clave privada. Los servidores receptores verifican la firma con la clave pública publicada en su DNS, y un atacante no tiene su clave privada.
- DMARC exige que SPF o DKIM se superen y se alineen con el dominio “From” visible. Indica a los receptores que monitoricen (p=none), pongan en cuarentena o rechacen los mensajes que fallan.
La aplicación total de DMARC bloquea el correo no autenticado que usa su dominio exacto. No detiene la suplantación del nombre visible, los correos de dominios similares ni los mensajes enviados desde un buzón comprometido. Los ataques de ingeniería social que dependen de esos métodos requieren controles distintos.
Los ataques de ingeniería social y su configuración de autenticación
El reconocimiento en redes sociales traza el mapa de sus personas. Los atacantes también investigan la configuración técnica de su dominio.
Los atacantes pueden consultar sus registros DNS con herramientas gratuitas para ver si su dominio aplica DMARC y cómo está configurado su registro SPF. Un dominio en p=none reporta los fallos pero no los bloquea. Eso da visibilidad, no protección.
Entre las configuraciones habituales que dejan un dominio expuesto a la suplantación están:
- Un registro SPF que termina en
+all, que autoriza a cualquier remitente - Subdominios configurados con
sp=none, que deja pasar los correos suplantados - Dominios heredados o aparcados sin registro DMARC o con una política p=none
- Herramientas de envío no aprobadas que retrasan la aplicación
Cómo defenderse de los ataques de ingeniería social
Pasar a p=reject sin un inventario completo de remitentes corre el riesgo de bloquear la facturación, las notificaciones y el correo de marketing.
Trabaje en este orden:
- Audite todos los dominios y subdominios, incluidos los heredados por fusiones y adquisiciones
- Asocie cada fuente de envío, interna y de terceros, con sus configuraciones de SPF y DKIM
- Corrija los fallos de autenticación de los remitentes legítimos
- Avance la política DMARC por etapas de p=none a p=quarantine y a p=reject
- Monitorice de forma continua los nuevos remitentes, los cambios de política y los dominios similares recién registrados
Cómo puede ayudar Sendmarc a reducir el riesgo de los ataques de ingeniería social
Los equipos de seguridad y TI que gestionan muchos dominios rara vez tienen capacidad de sobra para el análisis de reportes y los cambios de DNS que exige la aplicación. El equipo de implementación de Sendmarc se encarga de ese trabajo y lleva a su empresa de p=none a p=reject por etapas, para que las comunicaciones críticas sigan fluyendo.
La plataforma de Sendmarc le da visibilidad unificada de sus dominios y herramientas de envío, para que pueda abordar la TI en la sombra antes de que rompa la autenticación. Tras la aplicación, la monitorización y la optimización continuas mantienen la protección al día a medida que cambian los proveedores.
Los ataques de ingeniería social basados en el reconocimiento en redes sociales no siempre usan su dominio exacto. Defensa contra dominios similares monitoriza los dominios que se parecen al suyo y le avisa cuando aparecen otros nuevos. Detección de filtraciones monitoriza fuentes, incluida la dark web, en busca de credenciales comprometidas y le avisa cuando las encuentra.
Para los comités de auditoría y de riesgos, Sendmarc ofrece reportes aptos para auditoría y un certificado de cumplimiento de DMARC como prueba verificable del estado de aplicación.
Descubra cómo el servicio DMARC empresarial de Sendmarc lleva los entornos con varios dominios a p=reject con visibilidad centralizada, reportes aptos para auditoría y monitorización continua.
