En resumen
Suplantar un dominio es enviar correos que parecen venir de él. Hay cuatro formas: usar exactamente tu dominio en el remitente (se impide con DMARC en p=reject), poner un nombre visible engañoso con otra dirección, registrar un dominio parecido (tuempresa-cl.com) o usar una cuenta real comprometida. DMARC solo frena la primera. Las otras tres se detectan analizando cada correo entrante y entrenando a los usuarios a verificar los pedidos inusuales.
Las cuatro formas de suplantación
| Tipo | Ejemplo | Qué la frena |
|---|---|---|
| Dominio exacto | From: gerencia@tuempresa.cl, enviado desde un servidor ajeno | DMARC con p=quarantine o p=reject |
| Nombre visible | "Gerencia Tu Empresa" <gerencia.tuempresa@gmail.com> | Filtro que compare nombres internos con remitentes externos |
| Dominio parecido | tuempresa-cl.com, tuernpresa.cl (rn en vez de m), tuempresa.co | Análisis del remitente y monitoreo de registros nuevos |
| Cuenta real comprometida | El correo real de un proveedor, enviado por un atacante | Análisis de comportamiento y verificación por otro canal |
Impedir que usen exactamente tu dominio
Sin DMARC, cualquiera puede enviar un correo con From: tu@tuempresa.cl desde cualquier servidor, y muchos receptores lo entregan. Con DMARC en p=reject, Gmail, Outlook y la mayoría de los servidores lo rechazan porque ni SPF ni DKIM coinciden con tu dominio.
El camino seguro es empezar con p=none, revisar los informes para descubrir todos los servicios que envían en tu nombre y subir a p=reject en unas semanas. El paso a paso está en configurar SPF, DKIM y DMARC en cPanel.
Protege también los dominios que no envían correo: un registro SPF v=spf1 -all y un DMARC p=reject impiden que los usen para suplantarte.
Rechazar la suplantación entrante en cPanel
DMARC protege tu dominio en los servidores de otros. Para proteger a tus usuarios de correos que suplantan a terceros, el servidor cPanel tiene que verificar lo que recibe:
- Reject SPF failures, en WHM › Exim Configuration Manager › ACL Options, rechaza los correos que el SPF del dominio dice explícitamente no autorizar.
- SpamAssassin suma puntos a los correos que fallan SPF o DKIM.
- Correos que dicen venir de tu propio dominio desde fuera del servidor son una señal fuerte de suplantación interna, típica del fraude BEC.
Estas reglas solo detectan la suplantación del dominio exacto. Los dominios parecidos y las cuentas comprometidas pasan SPF, DKIM y DMARC con normalidad.
Dominios parecidos
Un dominio parecido cuesta poco y se configura en minutos con SPF, DKIM y DMARC propios, así que sus correos pasan todas las verificaciones. Las variantes más usadas:
- Cambiar o duplicar letras: tuempressa.cl, tuempesa.cl.
- Letras que se parecen: rn por m, l por i, 0 por o.
- Guiones y palabras extra: tuempresa-cl.com, tuempresa-pagos.cl.
- Otra terminación: tuempresa.com en vez de tuempresa.cl, o .es por .com.
Para defenderte: registra las variantes más obvias de tu dominio, vigila los registros nuevos con herramientas como dnstwist, y usa un filtro que analice al remitente de cada correo y no solo su autenticación.
Qué deben revisar los usuarios
- La dirección completa del remitente, no solo el nombre visible. En el celular hay que tocar el nombre para verla.
- Si la dirección de respuesta es distinta a la del remitente.
- Pedidos de pago, cambios de cuenta bancaria o envío de datos: siempre se confirman por teléfono, con un número que ya tengas.
- Cómo ver los detalles técnicos: cómo leer los encabezados de un correo.
Cómo ayuda un filtro con detección de suplantación
Clisec valida SPF, DKIM y DMARC de cada correo entrante, evalúa la reputación del dominio y la IP del remitente detecta la suplantación de identidad y compara cada mensaje con el comportamiento habitual del remitente y del destinatario. Lo hace en la capa SMTP, antes de la entrega, para todas las cuentas del servidor cPanel y sin cambiar los registros MX.
Preguntas frecuentes
¿Qué es la suplantación de dominio?
Enviar correos que parecen venir de un dominio que no te pertenece, ya sea usando exactamente ese dominio, un nombre visible engañoso o un dominio parecido.
¿DMARC evita toda suplantación?
No. DMARC impide que usen exactamente tu dominio en el remitente. No impide los dominios parecidos, los nombres visibles engañosos ni el uso de cuentas reales comprometidas.
Recibí un correo de mi propio dominio que no envié, ¿qué hago?
Revisa los encabezados: si DMARC falla, es una suplantación desde fuera y conviene subir tu política DMARC. Si pasa, puede que una cuenta de tu dominio esté comprometida.
¿Cómo sé si alguien registró un dominio parecido al mío?
Herramientas como dnstwist generan las variantes posibles y comprueban cuáles están registradas. Algunos servicios avisan automáticamente cuando aparece una nueva.
Protege el correo entrante de todo tu servidor
Clisec detecta la suplantación de identidad en el correo entrante de todas las cuentas de tu servidor cPanel, sin cambiar registros MX.