«Quen do meu equipo enviou esta factura?»

A chamada empezou así: «Quen do meu equipo enviou esta factura?». Un dos seus clientes recibira un correo desde o seu enderezo de sempre, co mesmo dominio e o mesmo remitente. Só cambiaba unha cousa: o número de conta para pagar.

O primeiro que se pensa é en alguén de dentro, ou nunha caixa de correo co contrasinal roubado. Por iso empezamos polas cabeceiras do correo, que din por onde pasou cada mensaxe.

Non o enviara ninguén da empresa

O correo non saíra das súas caixas. Viña dun servidor alleo, que escribira o seu dominio como remitente. É tan doado como poñer un nome falso no remite dun sobre: non fai falta ningún contrasinal nin entrar en ningunha conta.

Para frealo hai tres comprobacións que fai o correo de quen recibe a mensaxe: SPF (que servidores poden enviar en nome do teu dominio), DKIM (unha sinatura en cada correo) e DMARC (que facer cun correo que non pasa as outras dúas).

A protección estaba posta, pero só miraba

Nesta empresa, SPF e DKIM estaban ben. DMARC tamén estaba, pero en modo «observar»: cando chegaba un correo falso co seu dominio, víase e deixábase pasar. E os informes que poderían avisar non chegaban a ningunha caixa.

É máis habitual do que parece. DMARC ponse en modo «observar» para non romper nada ao principio, e queda así durante anos.

Esa mesma tarde pechamos a porta. Hoxe, un correo así xa non chega á bandexa de entrada de ninguén: vai directo a spam.

Hai outra parte que non se arranxa nunha tarde: durante unhas horas, alguén do seu equipo estivo baixo sospeita sen facer nada.

Como saber se che pode pasar

1. Pasa o teu dominio polo noso comprobador de correo, aquí debaixo: é de balde e tarda uns segundos.
2. Mira a liña de DMARC. Se non aparece, ou pon «none», o teu dominio non frea os correos falsos.
3. Pregúntalle a quen leva o teu correo quen envía en nome da túa empresa. Se ninguén o sabe, aí empeza o problema.