Spoofing vs. phishing: la diferencia y por qué DMARC solo detiene uno

Phishing y spoofing suelen usarse indistintamente, pero describen dos cosas distintas. El phishing es el objetivo: convencer a alguien de que entregue sus credenciales, haga clic en un enlace malicioso o apruebe un pago. El spoofing es una técnica para lograr ese objetivo: falsificar la información del remitente, ya sea un dominio, un identificador de llamadas o un nombre para mostrar, de modo que un mensaje parezca provenir de alguien confiable.

El spoofing suele aparecer dentro de los ataques de phishing, ya que un mensaje que parece legítimo tiene más probabilidades de ser abierto y de que se actúe sobre él. Pero las dos técnicas no siempre van juntas. Un atacante puede llevar a cabo un ataque de phishing desde un dominio que posee legítimamente.

El spoofing de correo electrónico se divide, a su vez, en dos formas. El spoofing de dominio exacto falsifica su dominio literal para que un mensaje parezca provenir de usted. El spoofing de dominio similar, en cambio, registra un dominio distinto y parecido, propiedad del atacante y autenticado correctamente. Ambos ocultan la identidad del remitente. Solo el primero es algo que DMARC puede detectar, ya que solo evalúa los correos que dicen provenir de su propio dominio.

Suponga que su política DMARC está configurada en p=reject. El spoofing de dominio exacto queda bloqueado. El phishing que nunca llega a tocar su dominio sigue llegando a las bandejas de entrada.

Cómo funciona el spoofing de dominio exacto

El spoofing de dominio exacto ocurre cuando un atacante envía un mensaje que muestra su dominio como remitente, sin ser su propietario ni tener permiso para usarlo. Si su dominio no tiene DMARC en aplicación, los servidores receptores no tienen una forma confiable de distinguir ese mensaje de uno que usted realmente envió, por lo que llega pareciendo legítimo.

DMARC funciona junto con dos protocolos de apoyo, SPF y DKIM, para confirmar que un mensaje realmente proviene de una fuente autorizada a enviar en nombre de su dominio. Cuando la aplicación está configurada en p=reject, cualquier correo que no pase esas verificaciones mientras dice provenir de su dominio queda bloqueado antes de llegar a la bandeja de entrada de nadie.

Cómo se ve el phishing

No todos los intentos de phishing necesitan falsificar su dominio. Un atacante puede registrar su propio dominio, configurarle una autenticación básica y enviar un mensaje que pase todas las verificaciones técnicas.

Los controles de autenticación no tienen nada que detectar aquí. Pueden detectar un dominio falsificado. No pueden detectar un mensaje que realmente proviene de donde dice provenir, incluso cuando ese dominio se creó únicamente para engañar.

Los dominios similares son la forma más común en que esto ocurre. Un dominio como example-support.com se parece lo suficiente al original como para que la gente no lo note. Por eso la distinción entre spoofing y phishing importa en la práctica: una vía se bloquea automáticamente antes de la entrega, la otra pasa y debe detectarse de otra manera.

Mapa de controles: qué detiene cada técnica

El siguiente desglose relaciona cada control con su eficacia contra el spoofing de dominio exacto frente al phishing que no depende de él.

Aplicación de DMARC (p=reject)

Bloquea por completo el spoofing de dominio exacto. No tiene ningún efecto sobre el phishing desde un dominio similar o una cuenta comprometida. Este es el malentendido más común en los programas de seguridad de correo electrónico empresarial.

Autenticación de correo electrónico (SPF y DKIM)

Confirma que un mensaje realmente proviene de una fuente autorizada a enviar en nombre de su dominio y garantiza que no fue alterado durante el tránsito. No ayuda contra un dominio similar.

BIMI

Muestra su logotipo verificado en los clientes de correo compatibles una vez que DMARC está en aplicación. No detiene el spoofing ni el phishing, pero facilita el reconocimiento del correo legítimo.

Monitoreo de dominios similares

Vigila los nuevos dominios registrados para parecerse al suyo, de modo que puedan marcarse o eliminarse antes de que se usen en una campaña. Este es el principal control proactivo contra el phishing que nunca llega a tocar su dominio.

Por qué DMARC por sí solo no es una defensa contra el phishing

Llegar a p=reject en todos sus dominios cierra una brecha específica: nadie puede enviar correo que diga provenir de usted sin permiso. Se trata de un control real y significativo. Detiene una gran parte de los intentos de phishing de credenciales y de BEC que dependen de su dominio.

Pero no resuelve la otra parte del problema. Una vez que los atacantes ya no pueden falsificar su dominio directamente, recurren a otra cosa: un dominio similar, un nombre para mostrar que imita a un directivo o una cuenta comprometida. Nada de eso requiere falsificar algo, así que DMARC no lo detecta.

Cómo ayuda Sendmarc

Sendmarc aborda tanto el spoofing de dominio exacto como las técnicas de phishing que lo evitan, desde una sola plataforma.

Contra el spoofing de dominio exacto, la plataforma de gestión de DMARC de Sendmarc guía a las organizaciones desde el despliegue inicial del registro hasta la aplicación segura de p=reject, en múltiples dominios. Los reportes revelan remitentes no autorizados antes de que la aplicación interrumpa correos legítimos.

Esto importa especialmente en entornos empresariales donde decenas de proveedores envían correos en nombre de múltiples dominios, un problema de inventario y aplicación que la gestión manual no puede resolver.

Contra el phishing que depende de dominios similares, el Lookalike Domain Defense de Sendmarc monitorea los dominios recién registrados y existentes que podrían usarse para suplantar su marca, creando la ventana para eliminarlos antes de que se lance una campaña.

Explore las soluciones de Sendmarc para ver cómo la aplicación de DMARC y el monitoreo de dominios similares trabajan juntos para proteger su marca.