ARTÍCULO DEL BLOG
- 11 minutos de lectura
¿Qué es DMARC y cómo puede protegerte?
DMARC es un protocolo tecnológico que verifica el origen de un correo electrónico y se asegura de que solo lleguen a la bandeja de entrada correos electrónicos reales.
Todas las empresas son presa de los ciberdelincuentes del correo electrónico; la "estafa de los 26.000 millones de dólares". El 80% de las organizaciones siguen expuestas: DMARC puede protegerle.
La ciberdelincuencia es uno de los puntos principales de la agenda de muchas empresas, y el correo electrónico es un importante vector de ataque que se explota activamente. Sin embargo, la mayoría de las empresas creen erróneamente que cuentan con todos los protocolos de seguridad del correo electrónico necesarios para protegerse. Esta creencia errónea, y el hecho de que cuando se diseñó el correo electrónico no se tuvo en cuenta la idea de la falsificación, han sido factores que han contribuido al aumento de los ciberdelincuentes, que cada vez utilizan más el correo electrónico como herramienta de ataque.
Debido a su defecto de diseño de seguridad, el correo electrónico, tal como está, no ofrece ninguna protección contra ataques como:
- Suplantación de nombres de dominio
La suplantación de nombres de dominio implica que un ciberdelincuente utilice el nombre de dominio de una empresa para hacerse pasar por ella y engañar a un usuario para que le dé dinero o información confidencial, y también implica enlaces por correo electrónico a sitios web falsos. - Suplantación del nombre de usuario
La suplantación del nombre de usuario se produce cuando un correo electrónico tiene un nombre de usuario falsificado de un remitente de confianza conocido por el destinatario. - Ataques de suplantación de identidad
Los ciberdelincuentes utilizan los ataques de suplantación de identidad para engañar a las víctimas con el fin de que entreguen información o dinero, o instalen programas maliciosos, lo que se consigue mediante el envío de un correo electrónico malicioso.
El correo electrónico: el arma preferida de los ciberdelincuentes
Falsificar un correo electrónico (Display Name Spoofing) es relativamente rápido y no requiere conocimientos de codificación. Sin embargo, los correos electrónicos falsos que secuestran los nombres de los empleados y también imitan el formato y las características lingüísticas únicas del remitente o de la empresa, requieren más habilidad. Sin embargo, hay muchos sitios web que anuncian cómo falsificar un nombre de remitente, y en pocos pasos cualquiera puede crear y enviar un correo electrónico falso y asumir la identidad de la persona real.
Crear un nombre de dominio falsificado (Domain Spoofing), es más rápido y fácil que registrar un dominio de imitación, aunque ambos métodos son armas muy utilizadas en la caja de herramientas de los ciberdelincuentes. Esto debería preocupar enormemente a todas las empresas.
Mientras que es habitual implantar tecnología de seguridad centrada en proteger contra lo que entra en una organización, muchas de ellas se olvidan de aplicar los protocolos de seguridad necesarios para garantizar que sólo lleguen a la bandeja de entrada los correos electrónicos autenticados que llevan su nombre. Esta brecha en la seguridad está costando muy cara a las empresas, tanto desde el punto de vista financiero como reputacional. La defensa contra estos ataques es la norma técnica mundial DMARC (Domain-based Message Authentication, Reporting and Conformance), y las empresas que carecen de ella están en peligro.
Todas las empresas deberían conocer su riesgo de exposición al DMARC ante los ciberdelincuentes.
Cualquier empresa que se tome en serio la seguridad del correo electrónico y la protección de su marca, sus empleados y sus socios puede conocer al instante su vulnerabilidad ante los estafadores del correo electrónico con un rápido análisis en línea autoadministrado.
Los ciberdelincuentes ganan miles de millones con el fraude por correo electrónico
En 2019 se enviaron a diario la asombrosa cifra de 128 800 millones* de correos electrónicos empresariales. Sin embargo, todos ellos no eran necesariamente lo que parecían en un principio. La mayoría de las veces, cuando se recibe un correo electrónico, lo escaneamos para ver de quién procede. Miramos el nombre del remitente y/o el nombre del dominio de la empresa y determinamos si lo reconocemos o no. Cuando los reconocemos, automáticamente asumimos la legitimidad del correo electrónico y confiamos en que es lo que parece ser; lo tomamos al pie de la letra.
Busque ejemplos de organizaciones que han sido atacadas por ciberdelincuentes que se han hecho pasar por ejecutivos, vendedores y proveedores y tendrá mucho donde elegir. Está el caso de la tesorera de la ciudad de Ottawa, que recibió un correo electrónico de una dirección que creía que pertenecía al director de la ciudad y fue engañada para que transfiriera unos 100.000 dólares a un estafador, y el caso más conocido del ejecutivo financiero de Mattel, que creyó que un correo electrónico que había recibido era del director general, cuando en realidad era falso y había sido enviado por un delincuente que se hacía pasar por el director general. El ejecutivo financiero envió 3 millones de dólares al delincuente.
En Sudáfrica, la Universidad de Mpumalanga fue engañada para que transfiriera unos 6,5 millones de dólares (100 millones de ZAR) a un estafador. Recibieron un correo electrónico falso que utilizaba el nombre de su gestor de activos, así como el nombre de la empresa, que era Investec. El ciberdelincuente utilizó tanto la suplantación de nombres de pantalla como la suplantación de nombres de dominio en su ataque a la Universidad con fines fraudulentos.
El correo electrónico indicaba que Investec, la empresa que gestionaba sus activos, había cambiado los datos bancarios; su nuevo banco era FNB y compartían el nuevo número de cuenta para que el dinero fuera abonado.
Los pagos fueron transferidos por la Universidad a la nueva cuenta bancaria. La actividad delictiva sólo salió a la luz cuando el corredor real hizo averiguaciones con el director financiero de la Universidad sobre el estado del pago adeudado, y la Universidad respondió que ya habían transferido el dinero a su nuevo banco. Tras ser alertados del correo electrónico fraudulento y de la transferencia incorrecta de fondos, se contactó con los bancos para detener la transacción, y fue una suerte que FNB hubiera marcado los movimientos de la cuenta como sospechosos y la Universidad pudiera recuperar la mayor parte del dinero.
UNICEF, en Sudáfrica, también ha sido objetivo de los ciberdelincuentes que utilizan la suplantación de nombres de pantalla y nombres de dominio en un ataque de phishing selectivo. A principios de 2021, se envió a los destinatarios un correo electrónico falsificado que simulaba proceder de UNICEF Sudáfrica y en el que se les pedía que participaran en un proceso de licitación para la construcción y renovación interior de una de sus instalaciones en Pretoria. La dirección de correo electrónico no pertenecía a UNICEF Sudáfrica, pero los ciberdelincuentes se habían apropiado del nombre de UNICEF en este ataque de phishing.
Estos correos electrónicos de phishing con dominios de apariencia similar se dirigen a personas concretas con el objetivo específico de estafar a su empresa. El dominio de semejanza puede tener sólo una letra cambiada en el nombre de dominio, pero si no se tienen en cuenta las diferentes permutaciones de semejanza a la hora de diseñar e implantar soluciones sólidas de seguridad del correo electrónico, los ciberdelincuentes pueden llevar a cabo sus delitos con éxito y sin obstáculos.
Por desgracia, hay decenas de miles de ejemplos reales, desde pequeñas empresas hasta grandes multinacionales, que han sido víctimas de estafas por correo electrónico, posibles gracias a que los ciberdelincuentes se han aprovechado de una seguridad del correo electrónico inexistente o deficiente.
Según los informes, aproximadamente el 80% de las organizaciones no cuentan con los protocolos de seguridad necesarios para detener los ataques de phishing y spoofing, y para proteger su nombre de dominio de la explotación despiadada de los estafadores. El correo electrónico no se diseñó originalmente pensando en la seguridad, lo que permite a los delincuentes insertar fácilmente la dirección de cualquier remitente en un mensaje falsificado. Es este defecto el que proporciona a los ciberdelincuentes de hoy en día una herramienta para actividades fraudulentas, a menos que se implemente la tecnología adecuada para detenerlo.
Los ciberataques contra empresas de alto perfil generan muchos titulares, sin embargo, todas las organizaciones tienen correo electrónico y las pequeñas y medianas empresas corren el mismo riesgo que una gran empresa. Por ello, la implantación de DMARC debe ser una prioridad para las empresas de todos los tamaños.
El mejor estándar tecnológico de protección contra la actividad fraudulenta por correo electrónico
DMARC es un protocolo tecnológico que verifica el origen de un correo electrónico y se asegura de que sólo lleguen a la bandeja de entrada correos electrónicos reales de la empresa y la persona reales. Esta tecnología interroga a la fuente del correo electrónico y verifica si es realmente de quien dice proceder, y sólo entonces da permiso para que se entregue al destinatario previsto. Los correos electrónicos que no se autentican o no pueden autenticarse no se entregan.
Al implantar DMARC, los correos electrónicos auténticos de una empresa llegarán a la bandeja de entrada del destinatario, y su nombre no acabará asociado a estafas y fraudes. La entrega rápida y sin problemas de correos electrónicos legítimos contribuye de forma importante a la productividad, y con DMARC la entrega de correos electrónicos mejora considerablemente.
Hay dos elementos funcionales críticos de DMARC. En primer lugar, DMARC establece una política para los dominios que han sido autenticados por SPF (Sender-Policy Framework) y DKIM (Domain Keys Identified Mail). SPF proporciona la verificación de los correos electrónicos que coinciden con servidores y direcciones IP autorizadas vinculadas al propietario del dominio, mientras que DKIM verifica que un mensaje no ha sido manipulado, ni alterado ni falsificado, mediante una clave de cifrado y una firma digital. La política DMARC determina lo que debe ocurrir cuando se recibe un correo electrónico no autorizado procedente de este dominio. Aunque existen tres posibilidades de política -ninguna, cuarentena y rechazo-, sólo con una política de rechazo una empresa está realmente protegida.
Sendmarc tiene una garantía estándar de conseguir p=rechazo en 90 días para todos los clientes gestionados, y configura proactivamente los dominios para asegurar la defensa continua contra las nuevas amenazas que surjan.
Sin embargo, las empresas no deben pensar que por el simple hecho de establecer una política de "rechazo" todo seguirá igual. A menos que haya un análisis completo y adecuado y un informe constante del uso de todos los dominios registrados en una empresa, la entrega de correos electrónicos legítimos se verá gravemente afectada, ya que serán bloqueados, causando graves daños a la productividad, problemas de servicio operativo y experiencias negativas de los clientes.
En segundo lugar, DMARC permite que los ISP generen informes que proporcionen una visión completa del éxito o fracaso de la autenticación de dominios. La plataforma personalizada de Sendmarc es totalmente compatible con todos los ISP y la integración es perfecta, y su utilización del proceso automatizado y la implementación de políticas permite la visibilidad en tiempo real y la presentación de informes de todos los correos electrónicos legítimos e ilegítimos que utilizan el nombre de dominio de un cliente.
Mientras que DMARC es una combinación de SPF y DKIM, añadiendo las capas críticas de la presentación de informes de configuración de políticas, Sendmarc ofrece una capa adicional sobrealimentada a la defensa DMARC con BIMI (Indicadores de Marca para la Identificación de Mensajes) que se basa en DMARC y protocolos de autenticación de correo electrónico. BIMI permite a las organizaciones mostrar un logotipo o imagen junto al nombre del remitente en los mensajes de correo electrónico.
Un logotipo o imagen debe estar "certificado", lo que implica un proceso de verificación que asocia y bloquea el logotipo o imagen a una empresa y dominio, y la emisión de un Certificado de Marca Verificada (VMC). El VMC se añade al registro BIMI de una empresa para mostrar el elemento visual. Esto otorga a una empresa el control total sobre su logotipo o una imagen asociada y añade una capa adicional de verificación a DMARC, proporcionando al destinatario una confianza visual fácil en la autenticidad del correo electrónico.
Teniendo en cuenta que la suplantación de marca es el 83 % de los ataques de spear phishing y que desde 2016 los ataques de suplantación de identidad y phishing por correo electrónico han costado a las empresas de todo el mundo 26.000 millones de dólares, es vital que las empresas se aseguren no solo de implementar DMARC, sino también de que los dominios estén correctamente configurados para utilizar DMARC con el fin de detener a los ciberdelincuentes.
Detener a los ciberdelincuentes; los más altos estándares de seguridad
Además de que las características y funcionalidades del producto Sendmarc son idénticas para todos los clientes, también lo es su garantía. Y aunque el producto es idéntico para todos los clientes, cabe destacar que el análisis del dominio y del entorno de correo electrónico, la implementación de DMARC y los informes continuos serán diferentes para cada empresa. Esto se debe a que el número de nombres de dominio registrados, así como el número de proveedores de servicios de terceros, varía para cada empresa desde unos pocos hasta muchos cientos, y esto afecta a la complejidad de la implementación.
Todas las empresas de cualquier tamaño necesitan saber si están protegidas de los ciberdelincuentes. Estos ciberdelincuentes son defraudadores a tiempo completo, centrados en robar a cualquier empresa que puedan, especialmente a aquellas que se lo ponen fácil. Las organizaciones, sin excepción, deben invertir en tecnología para evitar que los ataques tengan éxito y reforzar sus soluciones actuales de filtros de spam, software antivirus y otras soluciones de seguridad heredadas con DMARC, para impedir que los ciberdelincuentes intenten engañar al destinatario del correo electrónico haciéndole creer que proviene de alguien de confianza o conocido. Puede tratarse de un colega, una marca o un socio/proveedor. Esta confianza puede entonces ser explotada para obtener ganancias ilícitas.
Enviar un correo electrónico es rápido y fácil y la herramienta más utilizada para la comunicación empresarial. Ahora también es la herramienta más utilizada por los ciberdelincuentes, y las estafas que comprometen el correo electrónico de las empresas pueden durar meses o incluso años antes de ser detectadas, causando, para algunos, daños financieros y de reputación irreparables.
La ciberdelincuencia está afectando a todas las empresas de todos los continentes. Un informe de la Interpol sobre la ciberdelincuencia en África afirma que, entre enero de 2020 y febrero de 2021, "Sudáfrica fue el país con más intentos de ransomware y BEC [business email compromise]". Sin DMARC, una empresa es más susceptible de ser víctima de estos ciberdelincuentes, que falsifican cuentas de correo electrónico o sitios web o envían correos electrónicos de spearphising.
Averigüe hasta qué punto es usted susceptible de que los ciberdelincuentes utilicen el correo electrónico como su arma preferida realizando la evaluación online autoadministrada de Sendmarc.
Compartir
ÚLTIMOS ARTÍCULOS
- 12 minutos de lectura
Por qué el SSO es esencial para las empresas modernas
- 16 minutos de lectura
Cómo funcionan las políticas DMARC - p=none, p=quarantine, p=reject
- 12 minutos de lectura
Protégete contra las amenazas de ciberseguridad navideñas
