09 Oct 20266 minutes read
SendmarcCorreos suplantados desde su dominio: un manual de respuesta a incidentes
Resumen de los correos suplantados:
- Asigne responsables de incidentes antes de que ocurra un incidente de suplantación de correo.
- Revise los reportes agregados de DMARC como señal temprana.
- Clasifique con el análisis de encabezados y los datos agregados.
- Coordine los mensajes a los clientes con seguridad y el área jurídica.
- Avance hacia p=reject por etapas y siga monitorizando.
Cuando un cliente reenvía un mensaje sospechoso que parece proceder de su dominio, la causa no siempre es un atacante. Puede tratarse de correos suplantados enviados por un actor de amenazas o de correo legítimo de uno de sus propios remitentes que está fallando la autenticación. Su equipo debe identificar la causa, corregirla o planificar la respuesta adecuada y mantener informados a los clientes.
Los correos suplantados de un atacante llegan a los clientes cuando su política DMARC está en p=none. La aplicación suele estancarse porque los equipos no pueden ver todos los servicios que envían correo en su nombre. Este manual establece la respuesta a incidentes de suplantación, con responsabilidades claras para los equipos de seguridad, administración del correo, cumplimiento y marca.
Descubra cómo la Gestión de DMARC muestra a su equipo todas las fuentes que envían correo desde su dominio, para que pueda rastrear los correos suplantados hasta su origen.
Manual de respuesta a incidentes de suplantación
Asigne responsables
Los reportes de correos suplantados llegan por varios canales. Un cliente reenvía un mensaje sospechoso, soporte ve un aumento de tickets que preguntan si un mensaje es auténtico o el equipo de seguridad de un socio se pone en contacto directamente.
El primer fallo en esta etapa suele ser organizativo. La seguridad del correo abarca infraestructura, marca, jurídico y comunicaciones con clientes. Sin una ruta de escalada definida, el reporte pasa de un equipo a otro mientras más clientes reciben el mensaje.
Defina los responsables antes de que ocurra un incidente de suplantación de correo:
- Responsable principal: operaciones de seguridad o infraestructura, responsable de la clasificación y la corrección
- Responsable de cumplimiento: jurídico o cumplimiento, responsable de la exposición regulatoria y la documentación
- Responsable de comunicaciones: marca o comunicaciones corporativas, responsable de los mensajes a clientes y socios
Dos tipos de señales deben llegar al responsable principal:
- Reportes entrantes: mensajes reenviados, tickets de soporte que hacen referencia a correo sospechoso y envíos al buzón de abusos
- Reportes agregados de DMARC: fuentes de envío no reconocidas y fallos de SPF o DKIM en mensajes que su infraestructura no envió
Los reportes agregados suelen ser la señal interna más temprana de correos suplantados. Los receptores suelen enviarlos a diario, así que el envío no autorizado aflora en aproximadamente un día, pero solo si alguien revisa los datos. Si nadie supervisa su buzón de reportes, un cliente puede avisarle antes que sus propios reportes.
Clasifique el incidente de suplantación de correo
Cada reporte apunta a una de dos causas raíz, y cada una exige una respuesta distinta:
- Suplantación externa: un atacante envía correos suplantados que usan su dominio en la dirección “From”, desde una infraestructura que usted no controla. Con p=none, los receptores no toman ninguna medida con estos mensajes.
- Remitente legítimo mal configurado: una plataforma de marketing, un CRM o un proveedor nuevo envía en su nombre sin SPF o DKIM alineados. El remitente es legítimo, pero sus mensajes fallan la autenticación y resultan sospechosos para los destinatarios. Entre las causas habituales están las adquisiciones y las herramientas adoptadas sin la participación de TI.
Para clasificar el reporte:
- Copie el encabezado completo del mensaje reportado y péguelo o cárguelo en el analizador de encabezados de correo de Sendmarc.
- Revise los resultados de autenticación. El analizador muestra si el mensaje superó o falló SPF, DKIM y DMARC.
- Revise la ruta de entrega y la reputación del remitente. El analizador enumera todos los servidores por los que pasó el mensaje y comprueba la IP de cada salto con datos de reputación, incluidas las puntuaciones de abuso y la infraestructura de spam.
- Compare el servidor de origen con sus servicios de envío conocidos, incluidos los proveedores de servicios de correo, los CRM, las plataformas de RR. HH. y los proveedores de correo transaccional.
- Consulte sus reportes agregados de DMARC del mismo período. El analizador revisa un mensaje a la vez, mientras que los datos agregados muestran si la misma fuente envía en volumen.
Si la fuente es desconocida y DMARC falla, trate el reporte como suplantación externa. Si la fuente es un servicio conocido que no se configuró correctamente, trátelo como una corrección de configuración.
Para los CISO, la suplantación externa con p=none es un riesgo material. Su dominio se está usando contra clientes, socios o empleados, y los receptores no tienen instrucciones de bloquear los mensajes.
Gestione las comunicaciones durante un incidente de suplantación de correo
La comunicación se desarrolla en paralelo con la clasificación y la corrección.
Documentación: registre la cronología del incidente de suplantación de correo, incluida la hora del primer reporte, los pasos de clasificación, las partes interesadas notificadas y las acciones realizadas. Si los correos suplantados apuntan a comunicaciones reguladas, conserve como evidencia las muestras reportadas y sus encabezados. Estos registros respaldan las revisiones internas, las auditorías y las consultas de los reguladores.
Mensajes externos: los equipos de marca suelen querer publicar un aviso público en cuanto se reportan correos suplantados. Coordínese antes con seguridad y el área jurídica, para que el mensaje refleje lo que ha confirmado la clasificación. Un aviso emitido antes de terminar la clasificación no puede decir a los clientes si siguen en riesgo.
Cuando haga falta notificar a los clientes, sea directo:
- Confirme que hay correos fraudulentos que usan su dominio
- Indique qué envía legítimamente su empresa por correo
- Dé a los destinatarios una forma de verificar si un mensaje es auténtico
No describa el incidente como una brecha a menos que la investigación la confirme. La suplantación aprovecha una autenticación sin aplicar y no requiere acceso a sus sistemas.
Refuerce su dominio frente a futuros correos suplantados
El refuerzo es la etapa final de la respuesta a incidentes de suplantación y elimina las condiciones que lo permitieron.
- Inventario de remitentes: mapee todos los servicios que envían correo con sus dominios, incluidas las plataformas de marketing, los sistemas de nóminas y RR. HH., los proveedores transaccionales y las filiales regionales. Confirme que cada uno supera SPF o DKIM en alineación con su dominio “From” y mantenga los registros SPF dentro del límite de 10 consultas DNS.
- Aplicación por etapas: avance de p=none a p=quarantine y a p=reject a medida que los datos de los reportes agregados confirmen que cada remitente legítimo supera la autenticación.
- Subdominios: los subdominios usados para correo de producto, regional o transaccional también son objetivos de suplantación. Use la etiqueta
sp=para fijar una política distinta para los subdominios. Sin ella, los subdominios heredan la política de su dominio raíz. - Monitorización continua: las nuevas herramientas, los cambios de DNS y las adquisiciones introducen nuevos remitentes y errores de configuración. Monitorice de forma continua las nuevas fuentes y los fallos de autenticación.
Para los consejos y los comités de riesgos, la pregunta útil no es si existe DMARC. Es si sus dominios están en aplicación y si alguien vigila los cambios.
Cómo puede ayudar Sendmarc
Los reportes de clientes sobre correos suplantados suelen revelar los mismos problemas de fondo: poca visibilidad de quién envía en su nombre, muy pocas personas para investigar y ninguna forma clara de demostrar el control ante auditores y consejos.
Sendmarc respalda la respuesta a incidentes de suplantación ayudándole a:
- Identificar a todos los remitentes que usan sus dominios: la vista de Remitentes de correo muestra el volumen y los resultados DMARC de cada fuente, para que su equipo pueda separar los remitentes no autorizados de los legítimos mal configurados durante la clasificación.
- Llegar a la aplicación sin interrumpir el correo crítico: el equipo de implementación de Sendmarc sigue un enfoque por etapas de p=none a p=reject.
- Reducir la investigación manual: la monitorización continua y las alertas a los administradores mantienen informado a su equipo cuando aparecen nuevos remitentes, sin añadir carga de trabajo interna.
- Aportar evidencia creíble a auditores y consejos: los reportes listos para auditoría y el certificado de cumplimiento DMARC dan una prueba verificable del estado de aplicación y respaldan la alineación con normas como PCI DSS, GDPR y POPIA.
- Cubrir las amenazas fuera de su propio dominio: Defensa contra dominios similares detecta dominios registrados para suplantar su marca y Detección de filtraciones identifica credenciales de empleados expuestas.
Descubra cómo la solución DMARC de Sendmarc mantiene los correos suplantados fuera de las bandejas de entrada de sus clientes.
