Un correo que suplanta a un proveedor, una factura con una cuenta bancaria modificada o un acceso externo que nadie ha revisado pueden detener una operación en cuestión de horas. La auditoría de correo corporativo permite localizar esas brechas antes de que se conviertan en una transferencia fraudulenta, una fuga de datos o una cuenta comprometida con capacidad para atacar a toda la organización.
Para Dirección, el correo electrónico no es solo una herramienta de comunicación: es un canal por el que circulan contratos, datos personales, presupuestos, credenciales, solicitudes de pago y decisiones operativas. Para TI, es además una superficie de ataque especialmente expuesta. Revisarlo de forma periódica no consiste en leer mensajes de empleados, sino en comprobar si la infraestructura, las identidades y las políticas de seguridad están protegiendo de verdad el negocio.
Qué debe responder una auditoría de correo corporativo
Una revisión útil empieza con preguntas de negocio muy concretas. ¿Puede alguien enviar correos haciéndose pasar por el dominio de la empresa? ¿Una cuenta robada puede reenviar información confidencial fuera de la organización sin generar una alerta? ¿Los mensajes de phishing llegan a la bandeja de entrada de Finanzas o Dirección? ¿Se conservan los correos críticos el tiempo necesario para responder ante un incidente o una obligación contractual?
El objetivo no es generar un informe técnico extenso que quede archivado. Es obtener una fotografía clara del nivel de exposición, priorizar los riesgos por impacto y definir responsables, fechas y controles verificables. Una empresa de 30 personas no requiere exactamente el mismo alcance que una organización con varias sedes, pero ambas necesitan visibilidad sobre los puntos que pueden comprometer su identidad digital.
También conviene separar tres conceptos que suelen mezclarse. La seguridad del buzón protege cuentas y mensajes; la continuidad garantiza que el correo y su información puedan recuperarse; y el cumplimiento define cómo se conservan y gestionan los datos. Una auditoría bien planteada conecta los tres, porque una cuenta comprometida puede provocar al mismo tiempo fraude, indisponibilidad y pérdida de evidencia.
Las áreas críticas que conviene revisar
Dominio, autenticación y suplantación
El dominio corporativo representa la identidad de la empresa frente a clientes, proveedores y entidades financieras. Si sus registros DNS no están configurados correctamente, un atacante puede intentar enviar mensajes aparentando proceder de la organización. Por eso, la auditoría debe validar SPF, DKIM y DMARC, además de comprobar que la política DMARC no está solo en modo de observación indefinidamente cuando ya existen condiciones para avanzar hacia una política de protección.
No basta con saber que estos registros existen. Hay que revisar qué servicios legítimos envían correo en nombre de la empresa, si las firmas DKIM son válidas y si los informes DMARC detectan fuentes no autorizadas. Una configuración demasiado restrictiva puede bloquear comunicaciones legítimas; una demasiado permisiva deja abierta la puerta a la suplantación. El equilibrio depende de los sistemas de marketing, facturación, CRM y aplicaciones que utilice cada compañía.
Identidades, accesos y privilegios
Muchas intrusiones comienzan con una contraseña reutilizada o capturada en una página falsa. La autenticación multifactor es una barrera esencial, pero su mera activación no garantiza protección. La auditoría debe confirmar qué usuarios, administradores y cuentas de servicio están excluidos, qué métodos de segundo factor se permiten y si existen protocolos heredados que eluden los controles modernos de acceso.
Las cuentas privilegiadas merecen una revisión específica. Un administrador global no debería utilizarse para la actividad diaria ni permanecer asignado por comodidad a personas que ya cambiaron de función. También deben detectarse buzones compartidos sin propietario, cuentas de excolaboradores, licencias inactivas y accesos delegados que no responden a una necesidad actual.
Un indicador valioso es la imposibilidad de responder con rapidez a una pregunta simple: “¿Quién tiene acceso a este buzón y por qué?”. Si no existe un inventario fiable, la prioridad inicial no es adquirir otra herramienta, sino recuperar control sobre las identidades.
Reglas de reenvío, aplicaciones conectadas y actividad anómala
Una técnica habitual tras comprometer una cuenta es crear una regla de reenvío hacia una dirección externa. El atacante puede observar conversaciones sobre pagos, cambiar el momento de su intervención y borrar mensajes para retrasar el descubrimiento. Por ello, la auditoría debe revisar reglas de bandeja de entrada, reenvíos automáticos, delegaciones, configuraciones de respuestas automáticas y permisos sobre calendarios y contactos.
También hay que inventariar las aplicaciones de terceros conectadas al entorno de correo. Algunas integraciones son necesarias para el trabajo diario, pero cada permiso concedido amplía la superficie de riesgo. Conviene retirar aplicaciones sin uso, limitar los privilegios solicitados y revisar el consentimiento administrativo, especialmente cuando una aplicación puede leer, enviar o eliminar mensajes.
Los registros de inicio de sesión completan el análisis. Accesos desde ubicaciones inusuales, cambios repentinos de dispositivo, múltiples intentos fallidos o conexiones a través de protocolos obsoletos no prueban por sí solos un incidente, pero sí justifican una investigación. El contexto importa: un directivo puede viajar, pero una cuenta financiera que inicia sesión desde un país inesperado y crea una regla de reenvío necesita atención inmediata.
Phishing, malware y fraude de identidad
Los filtros antispam convencionales no siempre detienen ataques dirigidos. Un mensaje bien redactado, enviado desde una cuenta legítima comprometida de un proveedor, puede superar controles básicos y explotar la urgencia operativa. La auditoría debe evaluar la eficacia real de las políticas contra phishing, enlaces maliciosos, adjuntos peligrosos y suplantación de nombres visibles.
En este punto interesa medir más que activar funciones. ¿Cuántos mensajes fueron puestos en cuarentena? ¿Cuántos fueron liberados por los usuarios? ¿Qué departamentos reciben más intentos de fraude? ¿Las alertas llegan a alguien que puede actuar? Estas respuestas permiten ajustar políticas sin generar un volumen de falsos positivos que empuje a los equipos a buscar canales alternativos e inseguros.
La formación también debe considerarse, pero con criterio. Pedir a los empleados que “tengan cuidado” no sustituye controles técnicos. Sí ayuda cuando se acompaña de procedimientos claros para validar cambios de cuentas bancarias, solicitudes urgentes de pago o peticiones de credenciales. En Finanzas y Compras, una segunda verificación por un canal independiente suele ser más efectiva que una advertencia genérica.
Retención, respaldo y recuperación
Eliminar un correo no significa necesariamente que haya desaparecido, y conservarlo indefinidamente tampoco es una buena estrategia. La auditoría debe revisar políticas de retención, borrado, conservación legal y clasificación de información de acuerdo con las necesidades de cada empresa. El criterio debe ser operativo y jurídico, no solo técnico.
Además, conviene verificar qué ocurre si un usuario elimina una conversación crítica, si una cuenta es cifrada por ransomware o si una configuración errónea afecta a múltiples buzones. La papelera nativa y la retención limitada no siempre cubren todos los escenarios. Un respaldo independiente de Microsoft 365, con cifrado AES-256 y pruebas periódicas de restauración, aporta una capa adicional de continuidad.
La palabra clave es “pruebas”. Un respaldo que nunca se ha restaurado es una promesa, no una garantía. La revisión debe definir qué buzones son críticos, cuánto tiempo puede estar la organización sin acceder a ellos y quién autoriza una recuperación.
Cómo convertir hallazgos en un plan de acción
Una auditoría pierde valor si presenta riesgos sin orden de ejecución. El informe debería clasificar cada hallazgo por impacto de negocio, probabilidad, evidencia encontrada, responsable y fecha objetivo. Así, una regla de reenvío sospechosa o una cuenta de excolaborador con privilegios se atiende antes que una mejora de bajo impacto.
En la práctica, las primeras acciones suelen concentrarse en cerrar accesos innecesarios, aplicar autenticación multifactor sin excepciones injustificadas, corregir SPF, DKIM y DMARC, bloquear protocolos inseguros y activar alertas para reenvíos externos y actividad de alto riesgo. Después llega la fase de madurez: protección avanzada contra phishing, políticas de acceso condicional, simulaciones controladas, respaldo especializado y monitorización continua.
La periodicidad depende de la exposición. Una revisión profunda anual puede ser razonable para una empresa con cambios limitados, siempre que exista monitorización mensual de indicadores clave. Si hay rotación frecuente, adquisiciones, nuevos proveedores, trabajo remoto intensivo o incidentes previos, el ciclo debe ser más corto. La seguridad del correo cambia cada vez que cambia una persona, una aplicación o un proceso financiero.
RealNet aborda este tipo de revisión como una decisión de continuidad, no como una lista de licencias. El valor está en traducir configuraciones y alertas en un plan que TI pueda ejecutar y Dirección pueda supervisar con métricas comprensibles.
El siguiente correo fraudulento no avisará de que es distinto a los anteriores. Contar con visibilidad sobre cuentas, dominio, reglas, protección y recuperación permite que la organización responda con criterio antes de que una bandeja de entrada se convierta en una crisis operativa.
