La suplantación de correo electrónico consiste en enviar un correo que finge venir de otra persona. La forma más simple falsifica la dirección del remitente. Otras usan un dominio de apariencia similar con una letra cambiada, un nombre visible conocido delante de una dirección sin relación, o una cuenta real que fue hackeada. El correo electrónico se diseñó en la década de 1980 sin ninguna comprobación del remitente, así que el campo «De» muestra lo que el remitente escriba. SPF, DKIM y DMARC se añadieron más tarde para que los dominios pudieran probar qué servidores pueden enviar en su nombre, pero no cubren todos los engaños.
La suplantación es el disfraz. El phishing es el objetivo. Un correo de phishing intenta que usted haga clic en un enlace, abra un archivo, entregue una contraseña o envíe dinero, y para lograrlo suele suplantar a un remitente de su confianza. Un correo suplantado también puede usarse sin ningún enlace, como en el compromiso del correo empresarial, donde el remitente falso simplemente pide un pago.
El compromiso del correo empresarial es un fraude que usa el correo electrónico para hacerse pasar por un jefe, un proveedor, un abogado o una compañía de títulos de propiedad y desviar un pago. Las versiones clásicas son una factura falsa, una solicitud para cambiar los datos bancarios de un proveedor, una transferencia urgente para un negocio secreto y nuevas instrucciones de transferencia justo antes del cierre de la compra de una vivienda. Por lo general no hay malware. Funciona porque el correo parece rutinario y llega en el momento justo.
Los estadounidenses reportaron al FBI pérdidas de US$ 3.046.598.558 por compromiso del correo empresarial en 2025, a partir de 24.768 denuncias. Eso lo convirtió en el segundo tipo de delito más costoso del informe del FBI, después del fraude de inversión, y supuso un aumento frente a los US$ 2,77 mil millones de 2024. En todo el mundo, el FBI contabilizó US$ 55,5 mil millones en pérdidas expuestas entre octubre de 2013 y diciembre de 2023, una cifra que incluye las pérdidas en intentos de fraude. Las cifras reportadas se quedan cortas, porque muchas empresas nunca denuncian.
Sí. Las herramientas de chat escriben correos fluidos y de tono oficial en cualquier idioma, así que la mala ortografía ya no es una señal de alerta fiable. En su informe de 2025, el FBI registró 22.364 denuncias que mencionaban la IA, con US$ 893 millones en pérdidas, e indicó que las empresas reportaron más de US$ 30 millones perdidos por compromiso del correo empresarial con participación de IA. Como un correo bien escrito no prueba nada, la comprobación tiene que ser algo que quien escribe no pueda falsificar, como una llamada a un número conocido o la firma de una persona verificada.
Puede poner su dirección en el campo «De», sí. Eso es suplantación, y no requiere su contraseña. Que el correo llegue o no depende de su dominio. Los grandes proveedores como Gmail y Outlook.com publican registros DMARC estrictos, así que el correo falsificado con sus direcciones suele rechazarse o enviarse a spam. Un dominio de empresa sin DMARC con p=reject es fácil de falsificar. Si le llegan respuestas y rebotes de mensajes que usted nunca envió, lo más probable es que alguien lo esté suplantando, no que esté usando su cuenta.
Si los mensajes aparecen en su propia carpeta de Enviados, alguien tomó el control de su cuenta. Cambie su contraseña desde un dispositivo limpio, active la verificación en dos pasos, cierre todas las demás sesiones y revise si hay reglas de reenvío, filtros o datos de recuperación modificados que el atacante pudo haber añadido para seguir vigilando su correo. Luego avise a sus contactos, sobre todo a quien pueda recibir una solicitud de pago. Si los mensajes no están en su carpeta de Enviados, se trata de suplantación, no de una cuenta hackeada.
Mire la dirección completa en lugar del nombre, revise si su aplicación de correo muestra una advertencia de autenticación y compruebe adónde iría una respuesta. Esas comprobaciones detectan las falsificaciones descuidadas. No pueden detectar un correo enviado desde una cuenta real hackeada. Para cualquier asunto que involucre dinero o datos sensibles, confirme llamando a la persona a un número que ya tenía. Si el correo está firmado con TIP, abra su enlace «Verify». El registro muestra el nombre verificado de quien firmó, y «Verify content» confirma que el correo es exactamente lo que esa persona firmó y que se le envió a usted.
Un dominio de apariencia similar es un dominio real y registrado, elegido para parecerse a otro, por ejemplo con rn en lugar de m, un guion añadido, una letra intercambiada o .co en lugar de .com. Como el atacante es su dueño, puede configurar SPF, DKIM y DMARC para él, de modo que el correo supera todas las comprobaciones. En 2024, una empresa de materias primas de Singapur transfirió US$ 42,3 millones tras recibir un correo desde una dirección escrita de forma ligeramente distinta a la de su proveedor. La propia norma de DMARC dice que no aborda los dominios visualmente similares.
No. Con p=reject, DMARC detiene el correo falsificado que usa exactamente su dominio, lo cual es valioso. Su norma, RFC 7489, dice que no aborda los dominios visualmente similares ni el nombre visible legible por personas. También deja pasar el correo enviado desde una cuenta real hackeada, porque ese correo realmente proviene del dominio. Esos tres casos explican cómo ocurren la mayoría de las grandes pérdidas por compromiso del correo empresarial.
Llame a su banco de inmediato, dígale que la transferencia fue un fraude y pídale que recupere el pago y se comunique con el banco receptor. Luego denúncielo. En los Estados Unidos, presente la denuncia en ic3.gov con todos los detalles de la transacción, sea cual sea el monto. En otros países, denúncielo ante el servicio de delitos informáticos de su policía nacional. Conserve el correo, no borre nada y avise a la persona o empresa real cuyo nombre se usó.
Fírmelo con el Trust Identity Protocol (TIP) de The AI Lab. Con la extensión gratuita de TIP para el navegador y un TIP-ID, usted pulsa «Sign with TIP» junto a Enviar. Su dispositivo firma el correo tras una verificación nueva del rostro o la huella dactilar, y bajo su mensaje se añade un enlace «Verify». Cualquier persona que lo haya recibido puede abrir el enlace, ver su nombre verificado y comprobar que el correo es exactamente lo que usted firmó y que se le envió a ella.
Es una forma de que una persona verificada firme un correo para que quienes lo reciban puedan comprobar quién lo firmó, que se les envió a ellos y que nada se cambió. El remitente tiene un TIP-ID, emitido una sola vez tras una verificación de su documento de identidad y de su rostro en vivo realizada por un Proveedor de Verificación acreditado. Cada correo se firma en el propio dispositivo del remitente con ML-DSA-65, el estándar de firma poscuántica que el NIST publicó como FIPS 204, y se registra en la red TIP. Un correo firmado es un Verifiable Asset (Activo Verificable) con su propio CTID.
No necesita nada más que el enlace. Al abrir el enlace «Verify» se muestra el registro, con quién lo firmó, cuándo y cómo dice el remitente que se hizo. «Verify content», en esa página, compara el asunto, el mensaje, la dirección del remitente, la lista de destinatarios en Para y CC y los archivos adjuntos con lo que se firmó, en el propio dispositivo del lector, sin subir nada. Los destinatarios que instalan la extensión gratuita de TIP ven «Signed by» y el nombre verificado del remitente directamente en Gmail y en los demás correos web compatibles.
No. El registro público guarda una huella digital del correo, nunca sus palabras. Su asunto, su mensaje y sus direcciones nunca se publican. En TIP 2.9.74 y versiones posteriores, el asunto y el mensaje ni siquiera salen de su dispositivo. A quién se envió y quién lo envió quedan sellados en el registro, de modo que solo alguien que ya tenga el correo puede comprobarlo. Los destinatarios en CCO se sellan de forma privada, así que solo el remitente puede mostrar a quién se copió. El TIP Classifier nunca analiza los correos.
No. Una contraseña de correo robada da acceso a su buzón, no a su clave TIP. Su clave permanece en su propio dispositivo, y cada firma requiere allí una verificación nueva del rostro o la huella dactilar. No hay un periodo de desbloqueo ni una sesión guardada que la omita. Un correo que el hacker envíe desde su cuenta no llevará una firma válida, que es justo lo que sus contactos deben buscar.
No. Mantenga todos ellos. Protegen los dominios y filtran el correo a gran escala, y TIP no bloquea ni filtra nada. TIP añade lo que ellos no pueden ofrecer, una comprobación de que una persona verificada firmó este correo exacto para estos destinatarios. Eso cubre los dominios de apariencia similar, los nombres visibles falsos y los buzones hackeados que superan la autenticación de dominio.
Comprobar un correo firmado es gratis para todos, sin necesidad de cuenta. Firmar es gratis para particulares, organizaciones sin fines de lucro, escuelas y universidades, organismos gubernamentales, organizaciones periodísticas para uso editorial y empresas con ingresos anuales inferiores a USD 100.000. Las empresas más grandes usan una licencia comercial publicada, con todos los niveles disponibles en theailab.org/tip-license.
