¿Qué es email spoofing y cómo puedes protegerte?

Si alguna vez has recibido correos enviados por ti mismo o un gran número de correos devueltos que nunca has enviado, es probable que hayas estado envuelto en una situación de email spoofing. Te explicamos qué es y cómo protegerte.  ¿Alguna vez has recibido un correo enviado por ti mismo o te han devuelto varios mensajes que nunca has enviado? ¿O quizá hayas recibido un correo de un remitente falso? Si es así, es probable que te hayas visto envuelto en una situación de email spoofing, una técnica de suplantación de identidad.

 ¿Qué es el email spoofing? 

El spoofing, que en inglés significa falsificar o engañar, es una técnica de suplantación de identidad que se utiliza para cometer delitos en el entorno virtual. De hecho, en España este tipo de delitos está creciendo a un ritmo anual del 27%. El ciberdelincuente intercepta las comunicaciones de su objetivo, como los correos electrónicos o su navegación web. En el caso del email spoofing, se trata de un correo electrónico fraudulento en el que se ha cambiado la dirección de remitente y el asunto para que parezca una comunicación fiable. Esta técnica se lleva a cabo para realizar estafas, ya sea para vender un servicio online o un producto falso o para convencer a los destinatarios para que envíen información confidencial, como sus datos bancarios o contraseñas. 

¿Cómo se lleva a cabo?

 El email spoofing es relativamente fácil de realizar debido a que los protocolos básicos de los servicios de correo electrónico (el más común es el Simple Mail Transfer - SMTP), no cuentan con mecanismos de autenticación. Estos servicios de envío no comprueban que el remitente está autorizado a enviar mensajes a esa dirección, una brecha que aprovechan los ciberdelincuentes para enviar correos suplantando su identidad, para lo cual suelen recurrir a troyanos.

 ¿Cómo protegerte del email spoofing?

1. Aprende a detectar los correos electrónicos falsificados. Los ciberdelincuentes cambian diferentes secciones del correo electrónico para ocultar el remitente real, por lo que desplegar esas propiedades para verlas puede darte algunas pistas. Si sospechas que un mensaje puede haber sido falsificado, abre los encabezados del correo electrónico.
2. Bloquea los usuarios sospechosos. Si recibes un mensaje falsificado, es importante que tomes medidas, como incluir en tu lista negra de contactos la dirección de correo electrónico que encuentres en los campos Reply-To o Return-Path.
3. No descargues archivos de procedencia dudosa. Si no estás seguro del contenido del correo, no descargues archivos ya que estos podrían contener virus o troyanos que los ciberdelincuentes pueden usar para robar tus datos y suplantar tu identidad.
4. No respondas a correos que pidan información personal. Desconfía de cualquier correo en el que te pidan tus datos personales. Las entidades serias no solicitan datos confidenciales como contraseñas o números de cuentas bancarias a través de correos electrónicos.
5. Usa registros SPF. El método más eficaz para protegerte del email spoofing consiste en recurrir a los registros SPF. Estos permiten que un dominio autorice a un servidor el envío de correo electrónico, de manera que si alguien realiza un envío desde un servidor distinto al autorizado, será considerado como spam

Preguntas frecuentes sobre email spoofing 

¿Las organizaciones pueden tomar medidas para prevenir el email spoofing?

Sí, las organizaciones pueden implementar medidas de seguridad como autenticación de correo electrónico (SPF, DKIM, DMARC), filtros de correo electrónico y programas de concienciación sobre seguridad para ayudar a prevenir el email spoofing y proteger a sus empleados y clientes.

¿Por qué es importante la educación sobre seguridad en el correo electrónico?

La educación sobre seguridad en el correo electrónico es crucial porque ayuda a los usuarios a reconocer las señales de advertencia de los correos electrónicos maliciosos y a tomar medidas para protegerse. Al aumentar la conciencia sobre las amenazas de seguridad en línea, se puede reducir el riesgo de caer en trampas de phishing y otros ataques.