📧 Email Spoofing: Cómo funciona, cómo se explota y cómo defenderse

0xEm1lio dijo:

¿Qué pasa chaches?

Soy 0xEm1lio, esta es mi primera contribución al foro. Me dedico a ciberseguridad (pentesting, auditorías, to ese rollo ok) y quería aportar algo de valor a la comunidad.

Hoy os traigo una guía completa sobre Email Spoofing: cómo funciona, por qué sigue siendo posible en 2026, cómo probarlo en entornos autorizados y lo más importante, cómo defenderse.

Espero que os sea útil. Cualquier duda o corrección, aquí estamos.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

¿QUÉ ES EL EMAIL SPOOFING?

El Email Spoofing es una técnica que permite enviar correos electrónicos falsificando la dirección del remitente. Un atacante puede enviar un correo que aparente venir de "ceo@empresa.com" sin tener acceso a esa cuenta.

¿Por qué es peligroso?

• Phishing dirigido (spear phishing)
• Business Email Compromise (BEC)
• Suplantación de identidad corporativa
• Distribución de malware con apariencia legítima

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

¿POR QUÉ SIGUE SIENDO POSIBLE?

El protocolo SMTP fue diseñado en 1982 (RFC 821). En aquella época, internet era una red académica pequeña donde todos se conocían. La seguridad no era una prioridad.

El problema fundamental:

SMTP no verifica la identidad del remitente.

Cuando envías un correo, el servidor SMTP simplemente confía en lo que le dices:

─────────────────────────────────────────
MAIL FROM: <ceo@empresa.com> ← Puedes poner lo que quieras
RCPT TO: <victima@ejemplo.com>
DATA
Subject: Urgente - Transferencia

Necesito que hagas una transferencia...
─────────────────────────────────────────

El servidor no pregunta: "¿Eres realmente el CEO?" Simplemente acepta el correo y lo entrega.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

LOS TRES PILARES DE DEFENSA: SPF, DKIM, DMARC

Para combatir el spoofing se crearon tres protocolos que trabajan juntos:

─────────────────────────────────────────────────────────────
SPF → ¿Quién puede enviar correos por mi dominio?
DKIM → ¿El correo es auténtico y no fue modificado?
DMARC → ¿Qué hacer si SPF o DKIM fallan?
─────────────────────────────────────────────────────────────

───────────────────────────
SPF (Sender Policy Framework)
───────────────────────────

Es un registro DNS que lista las IPs/servidores autorizados para enviar correo.

Ejemplo de registro SPF:

v=spf1 ip4:192.168.1.1 include:_spf.google.com -all

Desglose:

• v=spf1 → Versión del protocolo
• ip4:192.168.1.1 → Esta IP puede enviar
• include:_spf.google.com → Los servidores de Google pueden enviar
• -all → Rechazar TODO lo demás (hard fail)

Mecanismos finales:

• -all (hard fail) → Rechazar si no coincide SEGURO
• ~all (soft fail) → Marcar sospechoso pero entregar DÉBIL
• +all → Permitir todo PELIGROSO

───────────────────────────
DKIM (DomainKeys Identified Mail)
───────────────────────────

Añade una firma criptográfica a cada correo:

1. El servidor genera un par de claves (pública/privada)
2. La clave privada firma cada correo saliente
3. La clave pública se publica en DNS
4. El servidor receptor verifica la firma

Si alguien modifica el correo o lo envía sin la clave privada, la firma no es válida.

Consultar DKIM (necesitas el selector):

dig TXT selector._domainkey.dominio.com

───────────────────────────
DMARC (Domain-based Message Authentication, Reporting & Conformance)
───────────────────────────

DMARC es el "jefe" que toma la decisión final. Define qué hacer cuando SPF o DKIM fallan.

Ejemplo de registro DMARC:

v=DMARC1; p=reject; rua=mailto:reportes@dominio.com

Políticas disponibles:

───────────────────────────────────────────────────
p=none => No hacer nada, solo reportar VULNERABLE
p=quarantine => Enviar a spam PARCIAL
p=reject => Rechazar el correo SEGURO
───────────────────────────────────────────────────

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

CONFIGURACIONES VULNERABLES

Así se ven las configuraciones que permiten spoofing:

CASO 1: Sin protección alguna

SPF: (no existe)
DKIM: (no existe)
DMARC: (no existe)
→ Spoofing total, sin advertencias

CASO 2: SPF débil + DMARC inútil

SPF: v=spf1 include:_spf.google.com ~all
DMARC: v=DMARC1; p=none
→ El correo llega aunque falle todo

CASO 3: Todo configurado pero DMARC en none

SPF: v=spf1 ... -all
DKIM: Configurado
DMARC: p=none
→ SPF y DKIM fallan, pero DMARC dice "no hagas nada"

CASO SEGURO:

SPF: v=spf1 ... -all
DKIM: Configurado con RSA-2048
DMARC: v=DMARC1; p=reject; sp=reject

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

DEMOSTRACIÓN PRÁCTICA (LABORATORIO)

Hacerlo en entornos autorizados (pentesting, CTF, laboratorio propio). Que ya os veo venir chaches

Requisitos:

• VPS con puerto 25 abierto (ej: Webdock ~2€/mes)
• SWAKS instalado (navaja suiza del SMTP chaches)

Paso 1: Analizar el dominio objetivo

• Consultar SPF

dig TXT dominio.com +short

• Consultar DMARC

dig TXT _dmarc.dominio.com +short

• Consultar DKIM (si conoces el selector)

dig TXT selector._domainkey.dominio.com +short

Paso 2: Configurar el servidor de correo

sudo apt update && sudo apt install swaks exim4 -y
sudo dpkg-reconfigure exim4-config

Seleccionar: "internet site; mail is sent and received directly using SMTP"​

Paso 3: Enviar correo spoofeado

swaks --to victima@ejemplo.com \
--from ceo@dominio-vulnerable.com \
--server localhost \
--header "Subject: Urgente - Revisar factura" \
--body "Por favor revisa los datos adjuntos."

Paso 4: Verificar resultado

Si la configuración es vulnerable, el correo llegará:

• A inbox con advertencia → Severidad ALTA
• A inbox sin advertencia → Severidad CRÍTICA
• A spam → Severidad MEDIA

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

Y bueno chaches, mi primer aporte. Cualquier comment se agradece. (dejaros de poner "a ver") chachetones

Hacer clic para expandir...