Por revistaeyn.com
El "spoofing" de correo electrónico consiste en falsificar la información del remitente de un correo para que un mensaje parezca provenir de una persona u organización de confianza cuando en realidad no es así.
ESET Latinoamérica advierte que la falsificación de dominios de correo electrónico sigue siendo una de las técnicas más utilizadas por los ciberdelincuentes para hacerse pasar por empresas y organizaciones legítimas, y menciona que cuando logran que un mensaje parezca provenir de una institución confiable, aumentan significativamente las probabilidades de que sea abierto, leído y considerado legítimo por el destinatario.
Estos ataques suelen formar parte de campañas de phishing, fraude financiero, robo de credenciales y distribución de malware. Los mensajes pueden contener enlaces a sitios falsos, archivos adjuntos maliciosos o solicitudes engañosas diseñadas para inducir al usuario a compartir información confidencial o realizar acciones que comprometan su seguridad o la de su organización.
“Los avances de la inteligencia artificial han facilitado la creación de campañas de phishing más sofisticadas. Gracias a la IA, los ciberdelincuentes pueden producir mensajes altamente personalizados que imitan el tono de comunicación, la identidad visual e incluso el estilo de escritura de empresas legítimas, lo que hace que los fraudes por correo electrónico sean cada vez más difíciles de detectar”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
Muchas organizaciones descubren que su dominio está siendo falsificado de forma indirecta: mediante mensajes de rebote de correos que nunca enviaron, reclamos de clientes por facturas fraudulentas o una caída repentina de la entregabilidad causada por el deterioro de la reputación del dominio.
Un mensaje falsificado puede parecer legítimo en la bandeja de entrada, por lo que es necesario revisar los encabezados para determinar si fue autenticado. En Gmail, por ejemplo, al abrir el mensaje y hacer clic en el menú de tres puntos situado en la esquina superior derecha y se selecciona Mostrar original. En Outlook, en cambio, se accede a Archivo > Propiedades > Encabezados de Internet, y se busca la línea Authentication-Results:
Si SPF, DKIM o DMARC muestran el resultado fail, significa que el servidor de envío no fue autorizado por el dominio presente en la dirección From.Un Return-Path diferente de la dirección From visible es un indicador frecuente, aunque algunos servicios legítimos de envío masivo también generan esta diferenciaLos encabezados Received que apuntan a una infraestructura sin relación con el supuesto remitente constituyen una fuerte señal de alerta.
“Si tu propio dominio está siendo falsificado, los informes agregados de DMARC son la forma más rápida de confirmar el problema e identificar qué servidores están enviando mensajes utilizando tu dominio. Configurar DMARC en modo de monitoreo es el primer paso práctico”, aconseja el investigador de ESET.
Aunque el spoofing es posible debido a las limitaciones de los protocolos originales del correo electrónico, existen mecanismos ampliamente adoptados que ayudan a autenticar los mensajes y reducen significativamente la posibilidad de falsificación. Entre ellos se encuentran SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail), DMARC (Domain-based Message Authentication, Reporting and Conformance), y BIMI (Brand Indicators for Message Identification).
La protección frente a un correo entrante constituye una capa independiente y debe incluir:
· Filtrado de correo electrónico en el servidor o en la nube que valide los resultados de SPF, DKIM y DMARC al momento de la recepción y ponga en cuarentena los mensajes que no superen las verificaciones, incluso aquellos provenientes de dominios cuya política solo está configurada en modo de monitoreo.
· Detección de dominios similares y de suplantación mediante el nombre visible del remitente (display name spoofing), situaciones en las que el dominio está correctamente autenticado, pero fue registrado para parecerse a uno legítimo.
· Análisis de archivos adjuntos y URL, ya que la falsificación de la información del remitente suele ser únicamente el mecanismo de entrega de un enlace o documento malicioso, y no el ataque en sí.
