¿Por qué recibo spam de mi propia dirección de correo electrónico?

 

¿Alguna vez ha abierto un correo electrónico y descubrió que era spam o chantaje que parecía provenir de su propia dirección de correo electrónico? No estás solo. La falsificación de direcciones de correo electrónico se denomina suplantación de identidad y, desafortunadamente, hay poco que pueda hacer al respecto.

Cómo los spammers falsifican su dirección de correo electrónico

La suplantación de identidad es el acto de  falsificar una dirección de correo electrónico,  por lo que parece ser de otra persona que no sea la persona que la envió. A menudo, la suplantación de identidad se utiliza para engañarlo haciéndole creer que un correo electrónico proviene de alguien que conoce o de una empresa con la que trabaja, como un banco u otro servicio financiero.

Desafortunadamente, la falsificación de correos electrónicos es increíblemente fácil. Los sistemas de correo electrónico a menudo no tienen un control de seguridad para garantizar que la dirección de correo electrónico que ingrese en el campo "De" realmente le pertenezca. Es muy parecido a un sobre que envías por correo. Puede escribir lo que quiera en el lugar de la dirección del remitente si no le importa que la oficina de correos no pueda devolverle la carta. La oficina de correos tampoco tiene forma de saber si realmente vive en la dirección de remitente que escribió en el sobre.

La falsificación de correo electrónico funciona de manera similar. Algunos servicios en línea, como Outlook.com,  hacen prestar atención a la dirección del remitente cuando se envía un correo electrónico y pueden impedir el envío de uno con una dirección falsa. Sin embargo, algunas herramientas te permiten completar lo que quieras. Es tan fácil como crear su propio servidor de correo electrónico (SMTP). Todo lo que un estafador necesita es su dirección, que probablemente pueda comprar en una de las muchas filtraciones de datos.

¿Por qué los estafadores falsifican su dirección?

Los estafadores le envían correos electrónicos que parecen provenir de su dirección por una de dos razones, generalmente. La primera es con la esperanza de que eludan su protección contra correo no deseado. Si te envías un correo electrónico, es probable que estés intentando recordar algo importante y no querrás que ese mensaje se etiquete como Spam. Por lo tanto, los estafadores esperan que al usar su dirección, sus filtros de correo no deseado no se den cuenta y su mensaje se transmita. Existen herramientas para identificar un correo electrónico enviado desde un dominio que no es el que dice ser, pero su proveedor de correo electrónico debe implementarlas y, desafortunadamente, muchos no lo hacen.

La segunda razón por la que los estafadores falsifican su dirección de correo electrónico es para ganar un sentido de legitimidad. No es raro que un correo electrónico falso afirme que su cuenta está comprometida. Que "usted mismo se envió este correo electrónico" sirve como prueba del acceso del "pirata informático". También pueden incluir una contraseña o un número de teléfono extraído de una base de datos violada como prueba adicional.

El estafador generalmente afirma tener información comprometedora sobre usted o fotografías tomadas con su cámara web. Luego amenaza con entregar los datos a sus contactos más cercanos a menos que pague un rescate. Suena creíble al principio; después de todo, parece que tienen acceso a su cuenta de correo electrónico. Pero ese es el punto: el estafador está falsificando evidencia.

Qué hacen los servicios de correo electrónico para combatir el problema

Este correo electrónico parece provenir de nuestra dirección personal, pero un vistazo a los encabezados revela que se trata de un simple truco de cambio de correo electrónico.

El hecho de que cualquiera pueda falsificar una dirección de correo electrónico de retorno tan fácilmente no es un problema nuevo. Y los proveedores de correo electrónico no quieren molestarlo con spam, por lo que se desarrollaron herramientas para combatir el problema.

El primero fue el  Sender Policy Framework (SPF) y funciona con algunos principios básicos. Cada dominio de correo electrónico viene con un conjunto de registros del Sistema de nombres de dominio (DNS), que se utilizan para dirigir el tráfico al servidor o computadora de alojamiento correcto. Un registro SPF funciona con el registro DNS. Cuando envía un correo electrónico, el servicio de recepción compara su dirección de dominio proporcionada (@ gmail.com) con su IP de origen y el registro SPF para asegurarse de que coincidan. Si envía un correo electrónico desde una dirección de Gmail, ese correo electrónico también debe mostrar que se originó en un dispositivo controlado por Gmail.

Desafortunadamente, el SPF por sí solo no resuelve el problema. Alguien debe mantener los registros SPF correctamente en cada dominio, lo que no siempre sucede. También es fácil para los estafadores solucionar este problema. Cuando recibe un correo electrónico, es posible que solo vea un nombre en lugar de una dirección de correo electrónico. Los spammers ingresan una dirección de correo electrónico para el nombre real y otra para la dirección de envío que coincide con un registro SPF. Por lo tanto, no lo verá como spam y tampoco lo verá SPF.

Las empresas también deben decidir qué hacer con los resultados de SPF. La mayoría de las veces, se conforman con dejar pasar los correos electrónicos en lugar de arriesgar que el sistema no entregue un mensaje crítico. SPF no tiene un conjunto de reglas sobre qué hacer con la información; solo proporciona los resultados de una verificación.

Para abordar estos problemas, Microsoft, Google y otros introdujeron el sistema de validación de autenticación, informes y conformidad de mensajes basados ​​en dominios (DMARC). Funciona con SPF para crear reglas sobre qué hacer con los correos electrónicos marcados como spam potencial. DMARC primero verifica el escaneo SPF. Si eso falla, detiene la transmisión del mensaje, a menos que un administrador lo configure de otra manera. Incluso si se aprueba un SPF, DMARC verifica que la dirección de correo electrónico que se muestra en el campo "De:" coincida con el dominio del que proviene el correo electrónico (esto se denomina alineación).

Desafortunadamente, incluso con el respaldo de Microsoft, Facebook y Google, DMARC todavía no se usa ampliamente. Si tiene una dirección de Outlook.com o Gmail.com, es probable que se esté beneficiando de DMARC. Sin embargo,  a finales de 2017, solo 39 de las 500 empresas de Fortune habían implementado el servicio de validación.

Qué puede hacer con respecto al spam autodirigido

Desafortunadamente, no hay forma de evitar que los spammers falsifiquen su dirección. Con suerte, el sistema de correo electrónico que utiliza implementa tanto SPF como DMARC, y no verá estos correos electrónicos dirigidos. Deberían ir directamente al spam. Si su cuenta de correo electrónico le da el control de sus opciones de spam, puede hacerlas más estrictas. Solo tenga en cuenta que también puede perder algunos mensajes legítimos, así que asegúrese de revisar su casilla de correo no deseado con frecuencia.

Si recibe un mensaje falso de usted mismo, ignórelo. No haga clic en ningún archivo adjunto o enlace y no pague los rescates exigidos. Simplemente márquelo como spam o phishing, o elimínelo. Si teme que sus cuentas se hayan visto comprometidas, ciérrelas por seguridad. Si reutiliza contraseñas, reinícielas en todos los servicios que comparten la actual y asigne a cada uno una nueva contraseña única. Si no confía en su memoria con tantas contraseñas, le recomendamos que utilice un administrador de contraseñas.

Si le preocupa recibir correos electrónicos falsificados de sus contactos, también puede valer la pena dedicar su tiempo a aprender a leer los encabezados de los correos electrónicos.