Qué necesita
El mensaje en sí (no responda, no haga clic en enlaces ni abra adjuntos), una forma de ver su código fuente en su programa de correo y cinco minutos. Todo el análisis se hace en este sitio: el analizador procesa el texto pegado y el análisis forense de correo lee un .eml o un .msg de Outlook sin subirlo.
Cómo leer el resultado
Este es un conjunto recortado de cabeceras de una suplantación típica, tal como las mostraría el analizador:
Authentication-Results: mx.example.org;
spf=pass smtp.mailfrom=bounce.example.net;
dkim=pass header.d=example.net;
dmarc=fail (p=NONE) header.from=example.com
From: "Example Bank Security" <[email protected]>
Return-Path: <[email protected]>
Reply-To: <[email protected]>
A primera vista SPF y DKIM pasan. Pero pasan para example.net, un dominio que controla el atacante, mientras que el lector ve example.com en el remitente. DMARC es la comprobación que compara ambos, y ha fallado. La política p=NONE explica por qué el mensaje se entregó de todos modos: example.com solo ha publicado DMARC en modo de observación. El Reply-To que apunta a otro dominio más es una segunda señal de alarma, porque su respuesta iría al atacante.
Un mensaje auténtico del mismo banco diría spf=pass smtp.mailfrom=example.com o dkim=pass header.d=example.com, y dmarc=pass header.from=example.com.
La cadena de Received se lee de abajo arriba. El salto inferior es donde el mensaje entró en el sistema de correo. Si un mensaje que dice venir de un banco europeo aparece primero en una IP residencial de otro continente, eso pesa más que cualquier cabecera aislada.
Errores frecuentes
- Fiarse del nombre visible. "Example Bank Security" es texto libre. Solo cuentan la dirección y los resultados de autenticación.
- Fiarse de cualquier línea Authentication-Results. Solo vale la que añadió su propio proveedor. Normalmente es la primera y nombra el servidor de su proveedor (
mx.example.orgarriba). Un atacante puede añadir más abajo una línea falsa con todo en pass. - Confundir "pass" con "seguro". Un delincuente puede registrar un dominio parecido como
examp1e.comy configurar SPF, DKIM y DMARC perfectos. Compare el dominio letra por letra; la pestaña Análisis del Remitente señala punycode y caracteres confundibles. - Culpar al atacante del reenvío. El correo reenviado suele fallar SPF, y las listas de distribución que modifican el asunto rompen DKIM. Un fallo en un boletín que usted se reenvía no prueba una suplantación.
Para ir más lejos
Si el dominio suplantado es suyo, publique SPF y DKIM, después DMARC, y endurezca la política de p=none a p=reject como se explica en Cómo funciona la autenticación de correo: SPF, DKIM y DMARC. Denuncie el mensaje con el botón de phishing de su proveedor para que sus filtros aprendan de él.