«¿Quién de mi equipo ha enviado esta factura?»

La llamada empezó así: «¿Quién de mi equipo ha enviado esta factura?». Uno de sus clientes había recibido un correo desde su dirección de siempre, con el mismo dominio y el mismo remitente. Solo cambiaba una cosa: el número de cuenta para pagar.

Lo primero que se piensa es en alguien de dentro, o en un buzón con la contraseña robada. Por eso empezamos por las cabeceras del correo, que dicen por dónde ha pasado cada mensaje.

No lo había enviado nadie de la empresa

El correo no había salido de sus buzones. Venía de un servidor ajeno, que había escrito su dominio como remitente. Es tan fácil como poner un nombre falso en el remite de un sobre: no hace falta ninguna contraseña ni entrar en ninguna cuenta.

Para frenarlo hay tres comprobaciones que hace el correo de quien recibe el mensaje: SPF (qué servidores pueden enviar en nombre de tu dominio), DKIM (una firma en cada correo) y DMARC (qué hacer con un correo que no pasa las otras dos).

La protección estaba puesta, pero solo miraba

En esta empresa, SPF y DKIM estaban bien. DMARC también estaba, pero en modo «observar»: cuando llegaba un correo falso con su dominio, se veía y se dejaba pasar. Y los informes que podrían haber avisado no llegaban a ningún buzón.

Es más habitual de lo que parece. DMARC se pone en modo «observar» para no romper nada al principio, y se queda así durante años.

Esa misma tarde cerramos la puerta. Hoy, un correo así ya no llega a la bandeja de entrada de nadie: va directo a spam.

Hay otra parte que no se arregla en una tarde: durante unas horas, alguien de su equipo estuvo bajo sospecha sin haber hecho nada.

Cómo saber si te puede pasar

1. Pasa tu dominio por nuestro comprobador de correo, aquí debajo: es gratis y tarda unos segundos.
2. Mira la línea de DMARC. Si no aparece, o pone «none», tu dominio no frena los correos falsos.
3. Pregunta a quien lleva tu correo quién envía en nombre de tu empresa. Si nadie lo sabe, ahí empieza el problema.