Fraude por correo electrónico: ¿el correo se interceptó en origen o en destino?
Análisis de la seguridad del correo de una empresa (Office 365) después de que un cliente pagara facturas en una cuenta falsa.
Contexto
Un cliente de una empresa de distribución recibió una factura correcta por correo y, dos horas después, otros correos con los datos bancarios falsificados, y pagó en la cuenta falsa. El cliente atribuía el fraude a un fallo de seguridad de la empresa emisora.
Qué se me pidió
Analizar la seguridad de la plataforma de correo de la empresa y determinar dónde se había producido la suplantación.
Cómo se analizó
- Revisión de la configuración del correo en la nube (Office 365 / Exchange Online): antivirus, antispam y protección contra la suplantación.
- Comprobación de los registros SPF publicados en el DNS.
- Análisis de las direcciones IP y de la ubicación de los servidores que aparecían en los correos.
- Análisis de la secuencia temporal de los mensajes legítimos y falsos.
Conclusión del informe
La plataforma de correo de la empresa estaba correctamente protegida. Que el cliente recibiera primero el correo legítimo y después los falsificados indicaba que la interceptación no se produjo en origen, sino en destino. Además, el registro SPF solo es eficaz si el servidor que recibe el correo lo comprueba.
Qué podemos aprender
Las medidas antisuplantación (SPF, DKIM, DMARC) protegen de verdad cuando ambas partes las aplican. La secuencia de los correos puede revelar dónde está la brecha.
Servicio relacionado: Peritaje de incidentes de ciberseguridad y fraude informático
Caso anonimizado. Los datos personales, las partes y las referencias del procedimiento se han omitido o modificado para preservar su confidencialidad.