Qué es el spoofing de correo y cómo saber si te suplantan

Spoofing significa suplantar: hacerse pasar por otro. En el correo, es un mensaje que dice venir de una persona o empresa sin haber salido de ella. Es la base de casi todas las estafas por correo, desde el falso aviso del banco hasta el fraude del CEO.

Lo que lo hace posible es que el correo electrónico nació sin comprobar quién envía: el remitente que ves es, en origen, un texto que escribe quien manda el mensaje. SPF, DKIM y DMARC se inventaron después para poner remedio.

Las tres formas de suplantar un correo

1. Solo el nombre

El correo llega de ana.lopez.92@correo-gratis.example, pero en la bandeja pone «Antonio · Gerencia». Es la más fácil y la que más funciona en el móvil, donde muchas veces solo se ve el nombre. Se descubre pulsando en el remitente y leyendo la dirección completa.

2. Un dominio casi igual

administracion@tuempresa-sl.example en lugar de administracion@tuempresa.example; o una l cambiada por una I mayúscula. El correo sale de un dominio real (del estafador), pasa sus propias comprobaciones y solo se descubre leyendo el dominio con calma.

3. El dominio auténtico

El correo dice venir exactamente de facturas@tuproveedor.example. Esto solo es posible si ese dominio no tiene SPF y DMARC bien configurados, o si quien lo recibe no los comprueba. Es la forma más peligrosa, porque a simple vista es perfecta.

Cómo comprobar si un correo es de quien dice

Mira el original del mensaje:

• Gmail: los tres puntos › Mostrar original. Fíjate en SPF, DKIM y DMARC.
• Outlook: Archivo › Propiedades (escritorio) o Ver › Ver origen del mensaje (web), y busca Authentication-Results.

Si pone dmarc=fail con el dominio del remitente, ese correo no salió de sus servidores: es una suplantación. Si pone pass, salió de ellos (aunque cuidado: una cuenta real robada también da pass).

Cómo evitar que suplanten tu dominio

Esto depende de ti, no de quien recibe:

1. Publica SPF con los servidores que envían en tu nombre (tu correo, tu web, tu herramienta de boletines).
2. Activa DKIM en tu proveedor de correo.
3. Publica DMARC, primero en p=none para ver quién envía como tú, y en cuanto esté limpio, en p=quarantine o p=reject.

La guía qué es DMARC y cómo configurarlo lo explica paso a paso, y el comprobador gratuito te dice ahora mismo cómo está tu dominio.

Y para que no te lleguen a ti

Tu DMARC protege a los demás de correos que fingen ser tuyos. Para protegerte tú de los que fingen ser de tu banco o de tus proveedores, tu servidor o tu filtro de entrada tiene que aplicar el DMARC de quien te escribe y rechazar lo que lo incumple. Es una de las cosas que hace un filtro como EscudoCorreo antes de que el correo llegue a la bandeja.

Preguntas frecuentes

¿Pueden enviar correos con mi dirección sin entrar en mi cuenta?

Sí, si tu dominio no tiene SPF y DMARC con una política que lo impida. El correo saldría de otro servidor, pero con tu dirección como remitente. Con DMARC en quarantine o reject, los servidores que lo reciben lo mandan a spam o lo rechazan.

Recibo correos de mi propia dirección pidiéndome dinero, ¿me han hackeado?

Casi nunca. Suele ser spoofing: alguien pone tu dirección como remitente, a menudo con una amenaza inventada. Si tu contraseña es buena y tienes la verificación en dos pasos, no han entrado. Aun así, conviene que tu dominio tenga DMARC para que esos correos no lleguen.

¿El spoofing es delito?

Usar la identidad de otra persona o empresa para engañar puede ser delito de usurpación de identidad o de estafa, según lo que se haga con ella. Si te ha causado un daño, denúncialo con los correos originales.