La seguridad del correo empresarial contra fraudes consiste en combinar controles técnicos con reglas operativas para que un mensaje aparentemente legítimo no sea suficiente para cambiar una cuenta bancaria, aprobar un pago, entregar credenciales o exponer información. Lo primero que conviene revisar es cómo se verifican remitentes, solicitudes urgentes, cambios financieros y accesos al buzón.

Los filtros ayudan, pero no pueden decidir por sí solos si una instrucción de dirección, un proveedor o un cliente corresponde a la operación real. Una cuenta auténtica también puede estar comprometida. Por eso la protección debe cubrir identidad, dominio, dispositivos, permisos, autorizaciones internas y una ruta clara para reportar y contener incidentes.

Por qué el fraude puede parecer un correo normal

El engaño no siempre llega como un mensaje mal redactado o con un archivo extraño. Puede imitar el nombre de una persona conocida, usar un dominio visualmente parecido, continuar una conversación robada o salir de una cuenta real que ya fue comprometida. La urgencia, la confidencialidad y el cambio inesperado de instrucciones buscan que la persona actúe antes de verificar.

  • Un supuesto proveedor informa una nueva cuenta bancaria justo antes del pago.
  • Una persona que aparenta ser directiva pide una transferencia urgente y solicita discreción.
  • Una notificación de correo o almacenamiento invita a iniciar sesión en una página falsa.
  • Un mensaje dentro de una conversación conocida sustituye el archivo, la liga o las instrucciones de pago.
  • Un buzón compartido conserva accesos de personal que cambió de función o salió de la empresa.
  • Una regla de reenvío creada sin autorización copia mensajes hacia una dirección externa.

Estas situaciones son ejemplos operativos, no casos de clientes. El riesgo aumenta cuando una sola persona puede modificar datos sensibles y autorizar la operación desde el mismo correo, cuando se comparten contraseñas o cuando nadie revisa sesiones, delegaciones y métodos de recuperación.

Tres capas para proteger el correo sin frenar el trabajo

Una medida aislada deja espacios innecesarios. Conviene trabajar en tres capas que se respaldan entre sí: identidad y acceso, protección del mensaje y del dominio, y verificación del proceso de negocio.

1. Identidad, acceso y recuperación de cuentas

Cada persona debe utilizar una cuenta individual. Los buzones de ventas, compras o cobranza pueden administrarse como buzones compartidos con permisos identificables, en lugar de distribuir una contraseña común. Así es posible retirar a una persona sin cambiar las credenciales de todo el equipo y conservar mayor trazabilidad.

  • Activar autenticación multifactor en usuarios y priorizar administradores, dirección, finanzas, compras y recursos humanos.
  • Separar las cuentas administrativas del uso cotidiano cuando la plataforma lo permita.
  • Registrar métodos de recuperación autorizados y evitar que dependan únicamente del mismo buzón que se intenta recuperar.
  • Revisar altas, cambios y bajas para retirar licencias, sesiones, delegaciones, dispositivos y aplicaciones conectadas.
  • Limitar permisos al trabajo requerido y documentar accesos temporales o excepciones.
  • Mantener actualizados los equipos que consultan correo y protegerlos con bloqueo, cifrado y herramientas acordes al entorno.

La autenticación multifactor reduce la dependencia de una contraseña, pero no todas las opciones ofrecen la misma protección. La guía de autenticación del NIST explica que los códigos que una persona captura manualmente pueden ser reenviados a un sitio impostor y no se consideran resistentes al phishing. Cuando la plataforma y el riesgo lo justifiquen, conviene valorar métodos criptográficos resistentes a suplantación, además de enseñar a rechazar solicitudes de acceso no iniciadas por el usuario.

MFA no corrige un pago aprobado por engaño, una delegación excesiva ni una cuenta abandonada. Debe acompañarse de permisos, recuperación, revisión de actividad y reglas para las decisiones sensibles.

2. Protección del mensaje, el dominio y los dispositivos

Los filtros de spam, phishing, ligas y adjuntos reducen exposición, pero requieren configuración, licencias y revisión según la plataforma. También es importante autenticar los mensajes que salen del dominio para que otros servidores puedan distinguir mejor los envíos autorizados de una suplantación.

  • SPF declara qué servicios están autorizados para enviar en nombre del dominio.
  • DKIM agrega una firma que permite validar el origen y la integridad del mensaje.
  • DMARC verifica alineación con el remitente visible, define una política y puede generar reportes de uso del dominio.
  • Las alertas de inicio de sesión, reglas de reenvío y aplicaciones conectadas ayudan a detectar cambios que requieren revisión.
  • Las actualizaciones y la protección del equipo reducen el riesgo de que malware o una sesión expuesta comprometan el buzón.

La guía de ciberseguridad para pequeñas empresas de la FTC describe SPF, DKIM y DMARC como controles complementarios para autenticar correo y recomienda establecer políticas de verificación para solicitudes sensibles. Estas referencias son operativas; no sustituyen las obligaciones legales o sectoriales que correspondan a una empresa en México.

Si tu empresa todavía está diseñando dominio, plataforma, migración, respaldo y permisos, consulta la guía sobre cómo implementar correo corporativo seguro. Este artículo se concentra en evitar que un mensaje o una cuenta comprometida se conviertan en fraude operativo.

3. Verificación de solicitudes y cambios sensibles

La regla más útil es sencilla: una solicitud por correo no debe ser la única evidencia para cambiar datos bancarios, liberar un pago extraordinario, compartir información sensible o modificar accesos. La empresa necesita un segundo canal conocido y un responsable que pueda confirmar la instrucción.

  • Llamar al número que ya estaba registrado, no al incluido en el mensaje sospechoso.
  • Validar cambios de cuenta con el contacto habitual y con el responsable interno del proveedor.
  • Aplicar doble revisión para transferencias, altas de beneficiarios y excepciones fuera del proceso normal.
  • No ingresar desde la liga del correo; abrir el portal desde un marcador o dirección conocida.
  • Detener la operación cuando cambien simultáneamente la urgencia, el contacto y las instrucciones.
  • Registrar quién confirmó, por qué canal y qué evidencia se conservó para el cambio.

La verificación debe ser rápida y conocida por todas las áreas. Si el procedimiento sólo existe en un manual difícil de consultar, la urgencia volverá a imponerse. Conviene definir qué operaciones requieren confirmación, quién puede aprobarlas y a quién se reporta una duda.

Señales de alerta antes de responder o autorizar

  • El dominio tiene letras, guiones o terminaciones distintas, aunque el nombre visible parezca correcto.
  • El mensaje cambia la cuenta bancaria, el beneficiario, la liga o el método habitual de entrega.
  • Se solicita actuar de inmediato, mantener la operación en secreto o saltarse una aprobación.
  • La respuesta ya no incluye a las personas que normalmente participan en la conversación.
  • El archivo o portal solicita credenciales de correo sin que el usuario haya iniciado esa acción.
  • Llega una aprobación MFA, un restablecimiento o una alerta de acceso que la persona no solicitó.
  • Un proveedor conocido escribe desde una dirección personal o evita el canal de confirmación acordado.
  • Aparecen mensajes enviados, reglas, delegaciones o sesiones que el titular no reconoce.

Antes de actuar: pausa la solicitud, revisa la dirección completa, evita abrir la liga o el adjunto, confirma por un canal conocido y reporta el mensaje a la persona responsable. La urgencia del remitente no debe reemplazar el proceso de autorización.

Qué hacer si una cuenta puede estar comprometida

Cambiar la contraseña es importante, pero puede no cerrar una sesión existente ni retirar una aplicación conectada. La respuesta debe preservar evidencia y adaptarse a la plataforma, al dispositivo y a la información involucrada. Si existe una investigación formal, conviene coordinar los cambios para no destruir datos útiles.

  • Reportar de inmediato por el canal interno y registrar cuándo comenzó la sospecha, qué mensaje se abrió y qué acción realizó la persona.
  • Bloquear temporalmente la cuenta o cerrar sesiones activas desde la administración autorizada, según el riesgo y la plataforma.
  • Restablecer credenciales, revisar métodos de recuperación y confirmar la autenticación multifactor.
  • Revisar reglas de reenvío, delegaciones, aplicaciones conectadas, mensajes enviados, eliminados y actividad de acceso.
  • Aislar el equipo de la red si existe indicio de malware, sin improvisar un borrado o reinstalación antes de valorar la evidencia.
  • Advertir a las personas que recibieron mensajes fraudulentos y pedirles que no sigan instrucciones ni abran ligas.
  • Coordinar con finanzas, administración, dirección, asesoría legal o privacidad cuando existan pagos, contratos o datos personales afectados.
  • Corregir la causa, documentar lo aprendido y revisar otras cuentas con permisos, contraseñas o condiciones similares.

El aviso a clientes o proveedores debe indicar con claridad qué mensaje ignorar y cuál es el canal auténtico de contacto. No conviene incluir ligas innecesarias en una comunicación de alerta, porque podría confundirse con el mismo intento de fraude.

Caso práctico común: cambio de cuenta de un proveedor

Imagina una oficina que recibe por correo una factura correcta y, dentro de la misma conversación, una instrucción para depositar en una cuenta nueva. El mensaje conserva la firma, el tono y el historial del proveedor. Esta es una situación ilustrativa, no un caso de cliente.

En lugar de actualizar el beneficiario desde el correo, la persona detiene el pago y llama al contacto previamente registrado. El proveedor confirma que no solicitó el cambio. TI conserva el mensaje para revisar encabezados y alcance; administración registra el intento; y el proveedor revisa su propia cuenta. El control decisivo no fue sólo un filtro: fue el procedimiento de confirmación fuera del correo.

Si el cambio hubiera sido legítimo, el mismo proceso habría permitido documentarlo con responsables y evidencia. La verificación no busca desconfiar de todos los mensajes; busca que una instrucción sensible tenga más de una prueba.

Qué puede atenderse a distancia y cuándo conviene una visita

La revisión de cuentas, sesiones, métodos de recuperación, permisos, reglas, autenticación del dominio y políticas de plataforma suele poder hacerse a distancia cuando existen accesos administrativos autorizados. También es posible acompañar a usuarios, revisar encabezados y documentar el incidente de forma remota.

Una visita puede ser necesaria cuando hay equipos posiblemente infectados, dispositivos compartidos sin inventario, servidores locales, respaldos físicos, problemas de red o evidencia que debe revisarse en sitio. La decisión depende del alcance, la urgencia y la posibilidad de contener el riesgo sin manipular innecesariamente los equipos.

Plan práctico para fortalecer el correo por etapas

  • Inventariar cuentas, buzones compartidos, administradores, dispositivos, aplicaciones y servicios que envían correo.
  • Priorizar dirección, finanzas, compras, ventas, recursos humanos y cuentas con permisos administrativos.
  • Corregir cuentas compartidas, accesos antiguos, métodos de recuperación y delegaciones sin responsable.
  • Extender MFA con una ruta de recuperación y valorar opciones resistentes a phishing donde el riesgo lo justifique.
  • Revisar SPF, DKIM y DMARC con todos los emisores legítimos antes de aplicar políticas restrictivas.
  • Definir confirmaciones por segundo canal para pagos, cambios bancarios, accesos y entrega de información.
  • Habilitar un canal de reporte fácil y practicar la respuesta con situaciones cercanas a cada área.
  • Revisar alertas, sesiones, reglas y permisos de manera periódica; documentar cambios y responsables.

Para mantener altas, movimientos, bajas y equipos dentro de un proceso común, la administración de usuarios y equipos ayuda a relacionar la cuenta de correo con licencias, permisos, dispositivos y responsables. La frecuencia de revisión debe acordarse con base en el tamaño y el riesgo de la operación.

Cómo ayuda SOATI

SOATI puede revisar y configurar correo empresarial Microsoft 365 o Google Workspace, inventariar usuarios y buzones, apoyar con autenticación y permisos, revisar el dominio, documentar procesos de alta y baja y acompañar la atención técnica de incidentes dentro del alcance contratado.

El diagnóstico debe comenzar con la plataforma, las licencias, el dominio, los emisores autorizados, las áreas que aprueban pagos y la forma actual de reportar incidentes. Con esa línea base se pueden priorizar controles sostenibles sin prometer que una herramienta eliminará por completo el fraude.

La decisión útil es elegir una primera capa verificable: proteger cuentas críticas, cerrar accesos innecesarios y establecer una confirmación fuera del correo para solicitudes financieras. Después se amplían filtros, autenticación del dominio, capacitación y seguimiento conforme a la operación real.