Un correo que aparenta venir de Dirección y solicita cambiar una cuenta bancaria puede bastar para desviar un pago, exponer información confidencial o abrir la puerta a un ransomware. El problema no es únicamente técnico: la suplantación de identidad por correo explota la confianza entre personas, procesos y proveedores. Por eso, al evaluar los mejores controles contra suplantación correo, la pregunta no debería ser qué herramienta comprar, sino qué combinación de controles reduce el riesgo sin detener la operación.
No hay nada 100% seguro. Sin embargo, cerca del 95% de la seguridad recae en la prevención: bloquear mensajes fraudulentos antes de que lleguen, dificultar que una cuenta sea tomada y asegurar que una acción crítica tenga validaciones independientes. Ese 95% protege continuidad operativa, reputación y recursos financieros.
Por qué la suplantación de correo sigue funcionando
Los ataques actuales rara vez dependen de errores ortográficos evidentes. Un delincuente puede registrar un dominio muy parecido al de la empresa, comprometer el buzón real de un proveedor o utilizar una cuenta interna robada. Después estudia facturas, firmas, horarios y cadenas de conversación para enviar un mensaje creíble.
El objetivo suele ser uno de tres: obtener credenciales de Microsoft 365 u otras plataformas, inducir una transferencia o cambio de cuenta bancaria, o distribuir archivos y vínculos maliciosos. Cuando el correo proviene de una cuenta legítima comprometida, los filtros básicos tienen menos señales para bloquearlo. Ahí es donde los procesos internos y la detección de comportamiento anómalo hacen la diferencia.
También conviene distinguir dos riesgos. La suplantación externa ocurre cuando alguien finge ser su empresa ante clientes, proveedores o colaboradores. El compromiso de correo corporativo ocurre cuando un atacante controla una cuenta real de su organización. Ambos requieren controles complementarios.
Los mejores controles contra la suplantación de correo
La protección efectiva se construye por capas. Si una barrera falla, otra debe limitar el impacto. Para empresas de 25 a 500 equipos, estas capas deben administrarse de manera continua, no configurarse una vez y olvidarse.
SPF, DKIM y DMARC para proteger el dominio
SPF, DKIM y DMARC son controles de autenticación de correo publicados en el DNS del dominio. SPF indica qué servidores están autorizados para enviar correo en nombre de la organización. DKIM agrega una firma criptográfica para validar que el mensaje no fue alterado. DMARC define cómo deben actuar los receptores si las validaciones no coinciden y permite recibir reportes de intentos de fraude.
DMARC es especialmente relevante para reducir la suplantación del dominio propio. Pero implementarlo directamente en modo de rechazo puede afectar comunicaciones válidas si existen sistemas no inventariados, como plataformas de facturación, marketing, recursos humanos o mesas de ayuda que envían correos en nombre de la empresa.
La práctica correcta es comenzar con visibilidad, revisar reportes, alinear cada fuente legítima de envío y elevar gradualmente la política hasta cuarentena o rechazo. El beneficio no es solo técnico: clientes y proveedores tendrán mayor certeza de que los mensajes con su dominio provienen de fuentes autorizadas.
Protección avanzada en la puerta de entrada
Un filtro antispam tradicional ya no es suficiente. La protección de correo debe analizar reputación de remitentes, dominios parecidos, adjuntos, URLs, lenguaje de fraude y señales de suplantación de ejecutivos o proveedores. También debe revisar vínculos al momento del clic, porque una liga aparentemente segura puede ser modificada después de la entrega del correo.
La cuarentena y los reportes deben ser comprensibles para TI y para usuarios autorizados. Un control demasiado agresivo puede retener cotizaciones, órdenes de compra o comunicaciones de clientes. Uno demasiado permisivo deja pasar fraudes. El ajuste adecuado depende de los procesos críticos de cada empresa, de sus dominios de confianza y de los roles que manejan pagos o información sensible.
MFA resistente al phishing y acceso condicionado
Si un atacante obtiene una contraseña mediante una página falsa, el segundo factor puede evitar que ingrese al buzón. Sin embargo, no todos los métodos MFA ofrecen el mismo nivel de protección. Los códigos enviados por mensaje o las aprobaciones automáticas pueden ser objeto de engaño o fatiga de notificaciones.
Para cuentas privilegiadas, personal financiero y Dirección, conviene priorizar métodos resistentes al phishing, como llaves de seguridad o autenticación basada en estándares modernos. A esto se suman políticas de acceso condicionado: bloquear inicios de sesión de ubicaciones inusuales, exigir dispositivos administrados, detectar riesgo de identidad y limitar protocolos de autenticación heredados.
La meta no es complicar la jornada del usuario. Es pedir mayor comprobación solo cuando el contexto representa una desviación real: un equipo desconocido, un viaje no esperado o un acceso simultáneo desde ubicaciones incompatibles.
Procesos de pago que no dependan de un correo
Ningún filtro garantiza que un mensaje fraudulento nunca llegará. Por eso, los cambios de cuenta bancaria, solicitudes de transferencia urgente, modificación de datos fiscales y pagos extraordinarios deben tener una validación fuera del correo electrónico.
Una llamada a un número previamente registrado, una confirmación dentro del portal del proveedor o una aprobación de doble control pueden detener un fraude de alto impacto. La regla debe ser clara: nunca confirmar datos bancarios usando el número telefónico, liga o firma incluidos en el mensaje que solicita el cambio.
Este control corresponde a Finanzas, Compras, Dirección y TI. Cuando cada área asume que el problema es de otra, el atacante encuentra el espacio que necesita. Documentar responsables, montos de aprobación y canales de verificación convierte la prevención en un proceso auditable.
Capacitación basada en situaciones reales
Capacitar no significa enviar una presentación anual y pedir una firma. Los colaboradores necesitan reconocer solicitudes inusuales, dominios similares, cambios de tono en una conversación y pantallas de inicio de sesión falsas. También deben saber cómo reportar un mensaje sospechoso sin temor a equivocarse.
Las simulaciones de phishing pueden aportar datos útiles si se utilizan para mejorar conductas, no para exhibir personas. Los resultados permiten identificar áreas con mayor exposición, ajustar campañas y reforzar procesos específicos. Por ejemplo, el equipo de cuentas por pagar requiere escenarios distintos a los de ventas o recepción.
Un reporte rápido vale más que un borrado silencioso. Si un usuario avisa, TI puede buscar el mismo indicador en otros buzones, bloquear el dominio y revisar si alguien interactuó con el contenido.
Monitoreo y respuesta cuando una cuenta se compromete
Un atacante que entra a un buzón puede crear reglas para ocultar respuestas, reenviar mensajes a una cuenta externa, registrar aplicaciones maliciosas o suplantar al usuario durante semanas. Por ello, la protección debe incluir monitoreo de eventos de identidad y correo, alertas por reglas sospechosas y revisión de reenvíos externos.
Ante una sospecha, la velocidad importa. El equipo responsable debe poder revocar sesiones activas, restablecer credenciales, retirar reglas de buzón, revisar aplicaciones autorizadas, aislar el equipo si es necesario y notificar a los contactos afectados. Después, debe determinar qué información fue consultada y si se requiere reforzar controles.
Contar con un respaldo de Microsoft 365 agrega una capa de recuperación ante eliminaciones maliciosas o pérdida de datos, pero no sustituye la autenticación, el monitoreo ni la respuesta. El respaldo recupera información; la seguridad busca que el incidente no avance.
Cómo priorizar la inversión sin perder tiempo
El punto de partida es identificar quién puede autorizar pagos, acceder a información sensible, administrar correo o modificar configuraciones. Después, revise cómo salen los correos de su dominio, qué cuentas no usan MFA, qué proveedores pueden solicitar cambios financieros y qué alertas se atienden realmente.
Una ruta práctica suele iniciar con autenticación de dominio y visibilidad DMARC, protección avanzada de correo, MFA para todas las cuentas y controles reforzados para perfiles críticos. El siguiente paso es formalizar validaciones de pago, capacitar por función y establecer un procedimiento de respuesta probado. Si la empresa no cuenta con personal suficiente para operar estas capas, un servicio administrado puede aportar monitoreo, configuración y seguimiento sin cargar toda la responsabilidad al equipo interno.
En RealNet, la seguridad y confianza se traducen en decisiones verificables: diagnóstico de exposición, controles configurados según la operación, soporte humano y revisiones continuas. Crear valor también implica reducir el espacio donde un correo convincente puede convertirse en una pérdida real.
La medida más valiosa no es la que luce mejor en una presentación, sino la que su equipo puede operar, medir y mejorar cuando llegue el siguiente intento. Cada correo detenido, cada cuenta protegida y cada pago validado por un canal independiente fortalece la continuidad de su empresa.
