Ciberseguridad para pymes
Guía práctica para proteger el correo empresarial del phishing y la suplantación de identidad. Qué medidas funcionan de verdad y en qué orden aplicarlas.
El correo es el punto de entrada de más del 90% de los ciberataques. No porque sea el canal más sofisticado, sino porque es el que más usamos y el que menos protegemos.
Hay dos problemas distintos que a menudo se confunden.
El primero es el phishing que recibes: correos que llegan a tu bandeja intentando engañarte para que hagas clic, introduzcas una contraseña o autorices un pago.
El segundo es la suplantación de tu dominio: alguien que envía correos haciéndose pasar por ti, a tus clientes o proveedores, sin que tú te enteres.
Son amenazas distintas, con soluciones distintas. Este post explica las dos y qué puedes hacer contra cada una.
Ya hemos explicado en detalle cómo reconocer un correo de phishing y qué hacer cuando tienes dudas. Si no lo has leído, es el punto de partida.
Aquí nos centramos en las medidas técnicas que reducen la cantidad de phishing que llega a las bandejas de tu equipo antes de que nadie tenga que decidir si hacer clic o no.
La mayoría de proveedores de correo corporativo, Google Workspace, Microsoft 365, tienen filtros antispam activados por defecto. El problema es que la configuración por defecto no siempre es la más efectiva, y muchos correos de phishing bien construidos los superan.
Revisar y ajustar la configuración de seguridad del correo, activar el análisis de adjuntos sospechosos y configurar alertas para correos externos que imitan direcciones internas son tres mejoras que cualquier administrador puede hacer en menos de una hora.
La tecnología filtra mucho, pero no todo. Los correos de phishing más elaborados, los que están personalizados con información real de la empresa, superan los filtros automáticos. Ahí es donde el equipo marca la diferencia.
No hace falta convertir a nadie en experto en ciberseguridad. Hace falta que el equipo conozca las señales básicas: remitente que no cuadra, urgencia inusual, petición de datos o pagos por correo. Con eso se frena la mayoría de los intentos.
Este es el problema menos conocido y el más peligroso para la reputación de tu empresa.
Cuando alguien suplanta tu dominio, no está atacando tu bandeja de entrada. Está usando tu nombre para atacar a otros: tus clientes, tus proveedores, cualquiera que reconozca tu empresa como una fuente de confianza.
El correo fraudulento no pasa por tus sistemas. No lo ves. No hay nada en tu bandeja de enviados. Te enteras cuando alguien te llama a preguntar por un correo que tú nunca enviaste.
Es lo que ocurre en el fraude de facturas falsas por email: alguien suplanta tu dominio para convencer a un proveedor de que cambie los datos bancarios de un pago. Sin hackear nada. Sin acceder a tu cuenta.
El correo electrónico fue diseñado para ser abierto y accesible. Por defecto, cualquiera puede enviar un correo desde cualquier dirección sin tener acceso a ella. Los tres protocolos que lo evitan, SPF, DKIM y DMARC, no vienen activados de serie. Hay que configurarlos.
Si quieres entender exactamente cómo funcionan estos tres protocolos y cómo comprobar si los tienes configurados, lo explicamos en detalle en el post sobre DMARC, DKIM y SPF.
Configurar DMARC no es solo añadir un registro en el DNS y olvidarse. Hay un proceso que, si se salta, puede acabar bloqueando tu propio correo legítimo.
Estos son los cuatro estadios por los que pasa cualquier dominio hasta estar completamente protegido:
Estadio 0: sin protección
No existe ningún registro DMARC. Cualquiera puede suplantar tu dominio exacto. Es el punto de partida de la mayoría de pymes que analizamos.
Estadio 1: monitorización
Se publica DMARC en modo observación, sin bloquear nada. Durante dos a cuatro semanas se reciben informes automáticos que muestran todos los servidores que envían correos usando tu dominio, los legítimos y los que no deberían.
Este estadio es crítico porque permite identificar todos los servicios que envían correo en tu nombre, herramientas de marketing, plataformas de facturación, CRM, y asegurarse de que están correctamente autorizados antes de empezar a bloquear. Si se salta esta fase y se va directamente al bloqueo, se corre el riesgo de rechazar correos legítimos.
Estadio 2: cuarentena
Los correos que no superan la verificación van a spam en lugar de a la bandeja de entrada. La suplantación no desaparece pero se degrada: los correos fraudulentos caen en la carpeta de spam del destinatario en lugar de llegar directamente.
Estadio 3: rechazo
Los correos que no superan la verificación se rechazan directamente en el servidor. El atacante ya no puede suplantar tu dominio exacto. Es el nivel de protección máximo y el objetivo al que debería llegar cualquier empresa.
| Estadio | Qué hace | Nivel de protección |
|---|---|---|
| 0 · Sin DMARC | Nada | ❌ Crítico |
| 1 · Monitorización | Observa y reporta | ⚠️ Sin protección pero con visibilidad |
| 2 · Cuarentena | Manda a spam los correos que fallan | 🟡 Medio |
| 3 · Rechazo | Rechaza los correos que fallan | ✅ Máximo |
El proceso completo desde el estadio 0 hasta el estadio 3 lleva entre cuatro y ocho semanas, el tiempo necesario para observar, ajustar y endurecer sin romper nada.
Cuando el dominio alcanza el estadio de cuarentena o rechazo, se habilita BIMI, un estándar que permite mostrar el logotipo verificado de tu empresa junto a los correos en los clientes de correo compatibles.
Es la recompensa visible de tener el correo bien configurado: el destinatario ve tu logo y una marca de verificación antes de abrir el mensaje. Más confianza, mejor entregabilidad y una ventaja de marca frente a competidores que no lo tienen.
Resumiendo, proteger el correo empresarial requiere actuar en dos frentes al mismo tiempo.
| Amenaza | Qué protege | Herramienta |
|---|---|---|
| Phishing que recibes | Tu equipo no hace clic donde no debe | Filtros, formación, doble factor |
| Suplantación de tu dominio | Nadie envía correos haciéndose pasar por ti | SPF, DKIM, DMARC hasta rechazo |
Las dos capas son necesarias. Tener solo una deja la mitad del problema sin resolver.
En la mayoría de diagnósticos que hacemos a pymes encontramos el dominio en estadio 0 o estadio 1 sin informes configurados. Es decir, sin protección real y sin visibilidad de lo que está pasando.
El proceso para llevarlos hasta el estadio de rechazo tiene tres fases: primero auditamos el estado actual del dominio y todos los servicios que envían correo en su nombre. Después monitorizamos durante dos a cuatro semanas para tener una foto completa. Y finalmente endurecemos la política de forma progresiva hasta llegar al rechazo total.
Durante todo el proceso y después de él, el dominio queda bajo monitorización continua. Los informes DMARC siguen llegando y cualquier intento de suplantación queda registrado y alertado.
Proteger el correo de tu empresa no es una tarea puntual. Es un proceso que, bien hecho una vez, funciona solo con monitorización periódica.
→ El diagnóstico gratuito de CALMA incluye la verificación del estado de tu correo y te dice en qué estadio está tu dominio. Si quieres llegar hasta el rechazo total, te acompañamos en el proceso.
El proceso completo desde el estadio 0 hasta el rechazo total lleva entre cuatro y ocho semanas. La mayor parte de ese tiempo es de observación, no de trabajo activo. Es el tiempo necesario para ver todos los servicios que envían correo en tu nombre antes de empezar a bloquear.
Técnicamente sí, pero no es recomendable. Sin la fase de monitorización previa, se corre el riesgo de rechazar correos legítimos, como los que envía tu plataforma de email marketing o tu software de facturación. La fase de observación existe precisamente para evitar ese problema.
BIMI es un estándar que permite mostrar el logotipo verificado de tu empresa junto a tus correos en los clientes de correo compatibles. Se habilita cuando el dominio tiene DMARC en estadio de cuarentena o rechazo. Mejora la confianza del destinatario y la entregabilidad del correo legítimo.
No directamente. El doble factor protege el acceso a tu cuenta de correo, evitando que alguien entre aunque tenga tu contraseña. La suplantación de dominio es un ataque distinto que no requiere acceder a tu cuenta. Para protegerse de la suplantación hacen falta SPF, DKIM y DMARC.
La monitorización continua es parte del proceso. Los informes DMARC llegan de forma automática y permiten detectar nuevos intentos de suplantación o cambios en los servicios que envían correo en tu nombre. Una revisión trimestral de esos informes es suficiente para la mayoría de pymes.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
