Cómo llegan los correos de phishing a su bandeja de entrada
Los proveedores de correo electrónico modernos filtran millones de mensajes de spam y phishing cada día. Sin embargo, los correos de phishing consiguen eludir estos filtros con regularidad. Entender cómo ocurre esto le ayudará a mantenerse alerta.
¿Cómo funcionan los filtros de correo no deseado?
Los filtros de spam analizan varios factores de cada correo electrónico:
- Reputación del remitente: ¿Se ha usado ya este dominio o esta dirección IP para enviar spam?
- Contenido: ¿Contiene el correo frases típicas de spam o enlaces sospechosos?
- Autenticación: ¿Pasa el correo las comprobaciones SPF, DKIM y DMARC?
- Comportamiento: ¿Cómo reaccionan los destinatarios a los correos de este remitente?
¿Qué son SPF, DKIM y DMARC?
SPF (Sender Policy Framework)
SPF es una lista publicada por el propietario del dominio que indica qué servidores de correo están autorizados a enviar mensajes en su nombre. Si un correo llega desde un servidor no incluido en esa lista, puede ser marcado como sospechoso. Un correo de correos.es enviado desde un servidor desconocido fallaría la verificación SPF.
DKIM (DomainKeys Identified Mail)
DKIM añade una firma digital al correo. El servidor receptor comprueba esa firma para verificar que el mensaje no ha sido modificado en tránsito y que proviene realmente del dominio declarado. Si la firma no es válida, el correo puede marcarse como sospechoso.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
DMARC combina SPF y DKIM y permite al propietario del dominio indicar qué debe hacer el servidor receptor cuando un correo falla las comprobaciones: rechazarlo, ponerlo en cuarentena (carpeta de spam) o entregarlo igualmente. Sin DMARC, incluso si SPF o DKIM fallan, el correo puede llegar a la bandeja de entrada.
¿Por qué los correos de phishing llegan igualmente a la bandeja de entrada?
Dominios nuevos sin reputación negativa
Un dominio recién registrado no tiene historial de spam. Las listas de bloqueo necesitan tiempo para incluirlo. Los estafadores registran nuevos dominios constantemente para aprovecharse de esta ventana de tiempo.
Uso de servicios de envío legítimos
Los estafadores usan plataformas legítimas de marketing por correo electrónico (Mailchimp, SendGrid) que gozan de buena reputación. El contenido de phishing se activa poco antes del envío, cuando ya no puede ser analizado de antemano.
Cuentas de correo reales comprometidas
Si una cuenta de correo electrónico real es hackeada y usada para enviar phishing, el mensaje llega desde una dirección de confianza y elude el filtro.
Contenido cifrado u oculto
El contenido de phishing se oculta en imágenes, archivos PDF, códigos QR o texto codificado que los filtros de texto no pueden leer.
Mezcla con contenido legítimo
El correo incluye contenido real —por ejemplo, un documento corporativo auténtico— junto al enlace malicioso, lo que reduce la puntuación de spam del mensaje.
Qué puede hacer usted
- Confíe en los filtros de spam, pero no dependa exclusivamente de ellos.
- Compruebe todos los enlaces de correos inesperados, aunque el correo haya llegado a la bandeja de entrada.
- Use 2check.click para analizar los enlaces sospechosos, independientemente de la carpeta donde esté el correo.
- Acceda a los sitios web oficiales directamente desde el navegador en lugar de seguir los enlaces de los correos.
- Si recibe un correo de una empresa conocida pidiéndole que actúe con urgencia, verifíquelo llamando a su servicio de atención al cliente oficial.
Compruebe un enlace sospechoso
¿Tiene un correo sospechoso en la bandeja de entrada? Copie el enlace y analícelo con 2check.click.
Preguntas frecuentes
¿Significa que un correo en la bandeja de entrada es seguro?
No. Los filtros de spam son eficaces, pero no infalibles. Un correo de phishing puede llegar a la bandeja de entrada igual que un correo legítimo puede acabar en la carpeta de spam. Evalúe siempre el contenido y los enlaces de forma independiente.
¿Por qué algunas personas reciben más correos de phishing que otras?
Su dirección de correo puede haberse filtrado a través de brechas de datos, registros públicos en sitios web o listas de spam. Puede comprobar si su dirección ha aparecido en filtraciones conocidas en haveibeenpwned.com.
¿Sirve de algo marcar un correo como spam?
Sí. Al marcar un correo de phishing como spam, ayuda a su proveedor de correo a detectar y bloquear mensajes similares en el futuro para usted y otros usuarios.
¿Si el correo pasa SPF y DKIM es que es legítimo?
No necesariamente. SPF y DKIM verifican que el correo proviene del dominio declarado, pero no que ese dominio sea legítimo. Un estafador puede registrar un dominio de aspecto oficial (como bbva-notificaciones.com), configurar correctamente SPF y DKIM y aun así enviar phishing.
¿Qué debo comprobar antes de hacer clic en un enlace de un correo?
Verifique que el dominio del enlace corresponde a la empresa real, que no hay errores tipográficos en la dirección, que el mensaje tiene sentido en su contexto y que no se le exige actuar con urgencia inusual. En caso de duda, use 2check.click para analizarlo.