Fraude del cambio de IBAN: cómo proteger el correo de su empresa con SPF, DKIM y DMARC

El correo llega a mitad de mes y parece normal: viene del proveedor de siempre, con su firma, su logotipo y el mismo tono de las últimas facturas. Solo hay un detalle nuevo: «Hemos cambiado de entidad bancaria; a partir de ahora les rogamos que abonen las facturas en la cuenta que indicamos». Administración actualiza el IBAN en la ficha, paga la factura del mes y, unas semanas después, el proveedor llama reclamando un pago que nunca recibió. El dinero ha ido a una cuenta que controla otra persona.

Es el fraude del cambio de IBAN, una variante de lo que INCIBE describe como fraude del CEO o compromiso del correo corporativo. No necesita virus ni conocimientos avanzados: basta con un correo creíble y un proceso de pagos que se fía de él. En este artículo explicamos cómo funciona, qué papel tienen SPF, DKIM y DMARC, y cómo comprobar en cinco minutos si el dominio de su empresa está protegido.

Cómo se monta el engaño

Hay dos variantes, y conviene distinguirlas porque se defienden de forma distinta.

Suplantación del dominio

El atacante envía un mensaje que aparenta salir de facturacion@proveedor.es sin tener acceso a ese buzón. El correo electrónico, tal y como se diseñó hace décadas, permite escribir cualquier remitente en el campo «De». Si el dominio del proveedor no tiene bien configurados SPF, DKIM y DMARC, el servidor que recibe el mensaje no tiene una forma fiable de saber que es falso, y lo entrega en la bandeja de entrada como uno más.

Cuenta robada o dominio parecido

En la segunda variante, el atacante ha conseguido la contraseña de un buzón real y escribe desde dentro, a menudo respondiendo a una conversación auténtica sobre una factura pendiente. La otra opción es registrar un dominio casi idéntico: proveedor-sl.es en lugar de proveedorsl.es, o una «rn» que a simple vista parece una «m». Aquí los registros del dominio legítimo no ayudan, porque el correo sale de un servidor autorizado o de un dominio distinto. La defensa pasa por el doble factor y, sobre todo, por el procedimiento interno de pagos.

SPF, DKIM y DMARC, sin jerga

Son tres registros de texto que se publican en el DNS de su dominio, el mismo sitio donde se indica a qué servidor apuntan la web y el correo. No se instalan en los ordenadores ni requieren licencias.

• SPF es la lista de servidores autorizados a enviar correo en nombre de su dominio. Si usa Microsoft 365 y, además, el programa de facturación envía las facturas por email desde sus propios servidores, los dos deben figurar en la lista.
• DKIM es una firma digital que el servidor añade a cada mensaje. Quien lo recibe la comprueba con una clave pública publicada en su DNS. Si el mensaje se ha modificado por el camino o no lo firmó su servidor, la firma no cuadra.
• DMARC une las dos anteriores y le dice al servidor que recibe qué hacer con un correo que dice venir de su dominio pero no supera las comprobaciones. Tiene tres niveles: none (solo observar), quarantine (enviar a correo no deseado) y reject (rechazar).

La pieza que más se olvida es DMARC, y es la que más protege. Con SPF y DKIM pero sin DMARC, o con DMARC en none, el servidor de destino detecta que algo no cuadra pero no tiene instrucciones de actuar. Es frecuente encontrar dominios con un p=none que alguien publicó hace años «para probar» y que nadie ha vuelto a mirar.

Un matiz importante: estos registros impiden que otros usen su dominio. Protegen a sus clientes y proveedores de recibir correos falsos en su nombre. Para que su empresa, a su vez, aproveche los registros de los demás, el filtro antispam tiene que estar bien ajustado; en Microsoft 365 eso se configura en las directivas contra phishing de Microsoft Defender.

Cómo comprobar su propio dominio

No hace falta ser técnico. Cualquiera de estas tres formas le dará una primera respuesta:

1. Una herramienta web de comprobación de DMARC, como las que ofrecen MXToolbox y otros servicios gratuitos. Se escribe el dominio y muestra si existen los registros y qué política tienen.
2. Desde un ordenador con Windows: pulse la tecla Windows, escriba cmd y ejecute nslookup -type=txt _dmarc.sudominio.es. Si la respuesta contiene v=DMARC1; p=quarantine o p=reject, va por buen camino. Si no aparece nada, su dominio no tiene DMARC.
3. Las cabeceras de un correo enviado a una cuenta de Gmail: en el menú del mensaje, «Mostrar original» presenta tres líneas, SPF, DKIM y DMARC, cada una con PASS o FAIL.

Si trabaja con Microsoft 365, revise también en el portal de Defender que la firma DKIM esté activada para su dominio propio. Si no se ha habilitado, los mensajes se firman con el dominio técnico onmicrosoft.com y DMARC no puede alinearlos con el suyo.

Por qué no conviene ponerlo directamente en «reject»

Porque es fácil bloquear correo legítimo. Una asesoría de Chamberí con Microsoft 365 suele enviar también desde el programa de nóminas, la herramienta de boletines, la pasarela de pago que manda los recibos o la multifunción que escanea a correo. Si alguno de esos servicios no está en el SPF o no firma con DKIM, al pasar a reject sus mensajes dejarían de llegar y nadie entendería por qué.

El orden razonable es este: publicar DMARC en none con una dirección que reciba los informes, revisar durante unas semanas qué servidores envían en su nombre, corregir SPF y DKIM de cada uno, pasar a quarantine y, cuando no aparezcan sorpresas, a reject. Los informes de DMARC llegan en XML y son poco legibles; interpretarlos y ajustar los registros forma parte del trabajo que hacemos en ciberseguridad para empresas en Madrid.

Lo que ningún registro DNS sustituye: el procedimiento

Aunque su dominio esté perfecto, el buzón del proveedor puede estar comprometido. Por eso la defensa más eficaz contra el cambio de IBAN no es técnica: es una norma interna sencilla que todo el departamento de administración conozca y cumpla.

• Ningún cambio de cuenta bancaria se acepta solo por correo. Se confirma llamando al proveedor a un teléfono que ya constara en su ficha, nunca al que aparece en el mensaje que pide el cambio.
• Una segunda persona valida el cambio antes del primer pago a la cuenta nueva.
• Se desconfía de la urgencia y del secreto: «hoy sin falta», «el gerente está de viaje», «no lo comente con nadie».
• Si ya se ha pagado a una cuenta fraudulenta, se llama al banco de inmediato para intentar retener la transferencia y se presenta denuncia. La línea 017 de INCIBE orienta gratuitamente en estos casos.

Y en su propia casa: doble factor obligatorio en todos los buzones de Microsoft 365, para que una contraseña robada no baste para escribir a sus clientes desde su cuenta. Lo desarrollamos en nuestra guía de seguridad en Microsoft 365.

Señales de que alguien ya está dentro de un buzón

Cuando el fraude sale de su propia cuenta, casi siempre deja rastro. Revise si existen reglas de bandeja de entrada que mueven a una carpeta extraña los correos que contienen «factura», «pago» o «transferencia»; reenvíos automáticos a direcciones externas; clientes que comentan haber recibido de usted un mensaje que no envió; o inicios de sesión desde países donde su empresa no trabaja. Ante cualquiera de ellas, cambie la contraseña, cierre todas las sesiones abiertas y elimine las reglas sospechosas antes de seguir trabajando con ese buzón.