Suplantación de identidad y spoofing: cómo usan el nombre de su empresa
La suplantación de identidad es hacerse pasar por otro para engañar a un tercero. En el mundo digital se le dice spoofing, y una empresa puede sufrirla de dos maneras: cuando alguien la suplanta ante sus clientes y proveedores, o cuando alguien suplanta a otros ante su equipo. Le explicamos los tipos de spoofing que más afectan a las empresas y cómo protegerse.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es la suplantación de identidad (spoofing)
Spoofing significa «falsificación» o «engaño» en inglés. En seguridad informática describe cualquier técnica para que un mensaje, una llamada o una página parezca venir de alguien que no es: un banco, un proveedor, el gerente o su propia empresa.
La suplantación de identidad es la base de casi todo el phishing: sin un disfraz creíble, el engaño no funciona.
Los tipos de spoofing que afectan a una empresa
Spoofing de correo (email spoofing)
Un correo que muestra en el remitente la dirección exacta de su empresa (
facturacion@suempresa.com) sin haber salido de sus servidores. Es posible cuando el dominio no tiene SPF, DKIM y DMARC bien configurados.Dominios parecidos
El atacante registra
suempresa-pagos.com,suernpresa.com(con «rn» en lugar de «m») o el mismo nombre con otra terminación. El correo sale de un dominio real, pero no del suyo.Suplantación del nombre visible
El nombre que se ve dice «Juan Pérez, Gerente», pero la dirección es una cuenta gratuita cualquiera. En el celular, muchas veces solo se ve el nombre.
Sitios web clonados
Una copia de su sitio en otro dominio, para cobrar a sus clientes o robarles datos.
Suplantación por teléfono y WhatsApp
Llamadas o mensajes desde números que muestran el nombre o la foto de su empresa o de alguien de su equipo.
Spoofing de IP y DNS
Técnicas más técnicas para redirigir tráfico o esconder el origen de un ataque. Menos frecuentes contra pymes, pero existen.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Cómo se ve la suplantación de su empresa
- 01
Sus clientes reciben facturas falsas
Con su logo, sus datos y «una nueva cuenta para el pago». Es la forma de suplantación que más dinero cuesta, y el cliente se entera cuando usted le reclama el pago.
- 02
Sus proveedores reciben pedidos que usted no hizo
Órdenes de compra o pedidos de envío a direcciones que no son suyas.
- 03
Su equipo recibe correos «del gerente»
Pedidos urgentes de transferencias o datos. → Fraude del CEO
- 04
Sus correos legítimos empiezan a caer en spam
Cuando su dominio se usa para mandar spam suplantado, los proveedores de correo desconfían también de sus correos reales.
Por qué es tan fácil suplantar un correo
El protocolo con el que viaja el correo electrónico se diseñó hace décadas, sin verificación del remitente: cualquier servidor puede decir que un correo es de quien quiera. Para resolverlo se agregaron tres capas que el dueño de cada dominio tiene que configurar:
SPF
La lista de servidores autorizados a mandar correo con su dominio.
DKIM
Una firma digital en cada correo que prueba que salió de usted y no se modificó en el camino.
DMARC
La regla que le dice a Gmail, Outlook y los demás qué hacer con un correo que dice ser suyo y no pasa las pruebas: dejarlo pasar, mandarlo a spam o rechazarlo.
Sin DMARC, o con DMARC en modo de solo observación, cualquiera puede mandar correos con su dominio exacto. → SPF, DKIM y DMARC explicados
Cómo proteger a su empresa de la suplantación
- 01
Configure SPF, DKIM y DMARC hasta el modo de rechazo
Es la medida que cierra el spoofing exacto de su dominio. Se hace por etapas para no bloquear correos legítimos. → Seguridad del correo corporativo
- 02
Vigile los dominios parecidos
Registre las variantes más obvias de su dominio y esté atento a dominios nuevos con su marca.
- 03
Establezca un protocolo de pagos
Ningún cambio de cuenta bancaria se acepta por correo. Se confirma por teléfono con un número conocido, en las dos direcciones: con sus proveedores y con sus clientes.
- 04
Avise a sus clientes cómo factura
Una línea en sus facturas («nunca cambiamos los datos de pago por correo») reduce mucho el riesgo de que les cobren en su nombre.
- 05
Marque los correos externos
Un aviso automático de «remitente externo» en los correos que llegan a su equipo desarma la suplantación del nombre visible.
Si ya están suplantando a su empresa
Junte evidencia
Los correos completos con sus encabezados, los dominios usados y las capturas.
Avise a sus clientes y proveedores
Por un canal confiable, explicando cómo reconocer los correos falsos.
Revise su propio correo
A veces la suplantación empieza con una casilla real comprometida.
Qué hacer si hackearon su correoDenuncie el dominio falso
Ante el registrador y el hosting que lo alojan, y el sitio clonado ante Google Safe Browsing.
Configure DMARC
Si todavía no lo tiene, para cerrar la vía más directa.
Si su propio sitio se usó para alojar páginas falsas
El problema es otro.
Phishing alojado en mi sitio
Servicios relacionados
Preguntas frecuentes
¿Qué es el spoofing?
Es falsificar la identidad de un mensaje, una llamada o una página para que parezca venir de alguien de confianza. Es la base de la mayoría de los fraudes por correo.
¿Qué es la suplantación de identidad por correo?
Es mandar correos que parecen salir de la dirección de otra persona o empresa. Se evita con SPF, DKIM y DMARC configurados en el dominio.
¿Pueden mandar correos con mi dominio sin hackear mi casilla?
Sí, si su dominio no tiene DMARC en modo de rechazo. El protocolo de correo no verifica el remitente por sí solo.
¿Qué hago si un cliente pagó una factura falsa con mi nombre?
Que el cliente avise a su banco de inmediato para intentar frenar la transferencia, junte la evidencia y denuncie. Después, cierre la vía configurando DMARC y revisando sus casillas.
¿La suplantación de identidad es un delito?
En la mayoría de los países de la región, la suplantación de identidad para obtener un beneficio o causar un daño está tipificada en las leyes de delitos informáticos.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerFraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
Leer¿Alguien puede mandar correos como si fuera su empresa?
Lo revisamos desde afuera, sin claves. Si su dominio no tiene DMARC en modo de rechazo, le decimos cómo cerrarlo sin cortar su correo.
¿Consulta urgente? WhatsApp 095 283 123