El correo parece vuestro. ¡Pero no lo es! ¡Os han suplantado!
Si enviáis datos bancarios, facturas o información sensible por correo, la configuración de vuestro dominio importa.
Imaginad que un cliente recibe un correo que parece enviado por vuestra empresa. El nombre es correcto, habla de una factura pendiente y le comunica que habéis cambiado de cuenta bancaria.
Solo hay un problema: ese correo no lo habéis enviado vosotros y ese IBAN no es vuestro.
Y una regla muy sencilla puede evitar un buen disgusto: si recibís por correo un cambio de cuenta bancaria, antes de pagar llamad siempre al proveedor a su número habitual y confirmadlo.
El correo es un servicio básico. Pero no es un servicio simple.
Detrás de cada cuenta hay una infraestructura que envía, recibe y valida mensajes. Y no todos los servicios de correo ofrecen el mismo nivel de seguridad.
Si el correo forma parte del funcionamiento de vuestra empresa, no os la juguéis.
Microsoft y Google disponen de algunas de las infraestructuras de correo más avanzadas. Pero utilizar un buen proveedor no basta: también importa cómo está configurado vuestro dominio.
Palabros: SPF, DKIM y DMARC
SPF ayuda a indicar qué servidores pueden enviar correo en nombre de vuestro dominio.
DKIM incorpora una firma digital a los mensajes para que el servidor receptor pueda verificar su autenticidad y detectar posibles manipulaciones.
DMARC indica cómo se deben tratar los mensajes cuando estas comprobaciones no cuadran.
Ninguna de estas medidas hace imposible una estafa. Pero bien configuradas ponen muchas más dificultades a quien quiera falsificar vuestra identidad por correo.
Un correo quiere entrar.
«Soy un correo de empresa.com»
Tres piezas que trabajan juntas
- SPFLa lista
- ¿Este servidor tiene permiso para enviar correos de esta empresa?
- DKIMLa firma
- ¿Este correo lleva la firma digital correcta?
- DMARCLas normas
- Si algo no cuadra, ¿qué debemos hacer?
Comprueba los resultados y decide.
- Todo cuadra
- El correo puede continuar.
- Algo no cuadra
- Puede marcarlo, ponerlo en cuarentena o rechazarlo, según las normas y la configuración.
No son tres cerrojos mágicos ni hacen imposible una estafa. Ayudan a detectar cuándo alguien se hace pasar por un dominio. Superar las comprobaciones no garantiza que el correo sea legítimo; un fallo aislado no implica rechazarlo.
Una curiosidad que ayuda a entender DKIM
DKIM significa DomainKeys Identified Mail.
¿Y ahora qué?
Si por correo enviáis facturas, datos bancarios o información sensible, no deis por hecho que vuestro dominio está bien protegido.
Si no sabéis cómo está configurado vuestro correo o queréis que revisemos la protección de vuestro dominio, Hablemos →
En SAV trabajamos con soluciones de correo Microsoft desde 2003, cuando Exchange ya formaba parte de nuestro día a día.