Un mensaje tiene más que decir de lo que crees
Cuando recibes un correo electrónico, lo que ves es el nombre del remitente, el asunto y el contenido. Pero detrás de esta interfaz visible, cada correo tiene un documento técnico completo que registra cada paso desde su creación hasta su llegada. Este documento se llama encabezado del correo y contiene de qué dirección IP se envió inicialmente, por qué servidores de correo pasó como intermediarios, a qué hora ocurrió cada paso y el estado de diversas certificaciones técnicas del correo. El nombre del remitente y la dirección del remitente son campos que cualquiera puede falsificar. Sin embargo, la dirección IP y los registros del servidor en el encabezado son mucho más difíciles de falsificar, lo que los convierte en una herramienta válida para determinar si un mensaje realmente proviene de la fuente que afirma ser.
Cómo ver los encabezados en diferentes plataformas
Gmail 1. Abre el correo objetivo. 2. Haz clic en el icono de menú de tres puntos en la esquina superior derecha. 3. Selecciona "Mostrar original". 4. Se abrirá una nueva ventana mostrando el contenido original completo del correo, incluidos los encabezados. Gmail también ofrece una herramienta de análisis de encabezados más amigable, en la parte superior de la página que muestra el correo original hay una opción para copiar al portapapeles, permitiéndote pegar el contenido del encabezado en la página de análisis de encabezados de Google Admin Toolbox, disponible en toolbox.googleapps.com/apps/messageheader, que desglosa el encabezado en un formato más fácil de leer. Outlook Web 1. Abre el correo objetivo. 2. Haz clic en el menú de tres puntos en la esquina superior derecha. 3. Selecciona "Ver origen del mensaje" o "Opciones del mensaje". 4. En la ventana emergente podrás ver el encabezado completo de internet. Outlook de Escritorio 1. Haz doble clic en el correo para abrirlo en una ventana independiente. 2. En la cinta de opciones, selecciona "Archivo" y luego "Propiedades". 3. En el campo de encabezados de internet podrás ver el encabezado completo. ##Apple
¿Qué información clave hay en los encabezados?
Una vez que obtienes el contenido del encabezado, estos campos son los más importantes para el análisis: Campo Received Generalmente hay múltiples campos Received en el encabezado, cada uno representa un nodo de servidor que el correo recorrió. La lectura se realiza de abajo hacia arriba, el Received más bajo es de donde se envió originalmente el correo, y el más alto es el último intermediario, que es el nodo donde tu servidor de correo recibió el mensaje. Cada campo Received típicamente incluye el nombre de dominio y dirección IP del servidor, así como el tiempo en que ocurrió esa intermediación. Si un mensaje que dice ser de PayPal muestra una dirección IP en su campo Received más bajo que apunta a un servidor completamente ajeno a PayPal, esta discrepancia es una clara señal de alarma. Campos From y Reply-To El campo From muestra la dirección que aparece en el remitente que puedes ver, y este campo puede ser falsificado. El campo Reply-To es la dirección a la que realmente se envía el correo cuando haces clic en "Responder"; algunos correos fraudulentos pueden falsificar el campo From con una dirección oficial, pero establecer el Reply-To a un buzón controlado por
Usar herramientas para analizar encabezados es más intuitivo
Leer manualmente encabezados originales puede ser bastante laborioso para la mayoría de las personas; existen varias herramientas en línea gratuitas que pueden convertir encabezados en un formato más comprensible. Analizador de Encabezados de Correo de MXToolbox URL: mxtoolbox.com/EmailHeaders.aspx Al pegar el contenido del encabezado, MXToolbox mostrará cada nodo Received visualmente en un mapa de transmisión, indicando claramente la dirección IP, el nombre del servidor y las marcas de tiempo de cada salto, así como los resultados de las certificaciones. Google Admin Toolbox Message Header URL: toolbox.googleapps.com/apps/messageheader Herramienta de análisis de encabezados proporcionada oficialmente por Google, que presenta los resultados en formato de línea de tiempo, ideal para analizar correos recibidos en Gmail. Analizador de Encabezados de Correo de WhatIsMyIPAddress URL: whatismyipaddress.com/tools/mail-header-analyzer También ofrece análisis de encabezados y proporciona ubicación geográfica para cada dirección IP, permitiéndote ver de manera intuitiva desde qué país y ciudad se envió el correo.
Preguntas más frecuentes sobre el análisis de encabezados de correo
¿Es posible que una dirección de remitente que parece oficial sea falsa?
No, y este es el escenario más importante para el análisis de encabezados de correo. El protocolo SMTP permite a cualquier persona ingresar cualquier dirección en el campo From sin necesidad de validación, lo que facilita enormemente falsificar direcciones de remitente. La dirección que ves en tu bandeja de entrada como [email protected] o [email protected] no significa que el correo realmente fue enviado desde los servidores de PayPal o Apple. Para confirmar si un mensaje realmente proviene de la organización que afirma ser, necesitas revisar los campos Received y Authentication-Results en los encabezados, especialmente los resultados de SPF y DKIM; estos campos son mucho más difíciles de falsificar que el campo From.
¿Si SPF y DKIM son válidos, el correo se puede considerar auténtico?
Si el correo pasa las verificaciones de SPF y DKIM, significa que fue enviado desde un servidor autorizado del dominio y que su contenido no ha sido modificado durante la transmisión. Es una fuerte garantía técnica que dificulta la falsificación de correos. Sin embargo, esto no significa que el contenido del mensaje sea necesariamente confiable. Un atacante puede crear un dominio que parezca similar al de destino, como paypa1.com o paypal-secure.com, configurar versiones completas de los registros SPF y DKIM, y enviar correos de phishing que pasen todas las verificaciones. Los resultados de la autenticación deben ir acompañados de una cuidadosa verificación del dominio en sí, ambas son esenciales.
¿Qué hacer si el encabezado de un correo indica que proviene de una IP sospechosa?
Primero, no hagas clic en ningún enlace dentro del correo, no descargues ningún archivo adjunto y no respondas. Toma nota del encabezado completo y de la información sobre la IP sospechosa, ya que estos datos te serán útiles al reportar el correo como spam a las autoridades o a tu proveedor de servicios de correo electrónico. Si el correo falsificó la identidad de una marca o institución específica, puedes reportarlo a esa entidad a través de los canales oficiales. La mayoría de las grandes empresas tienen buzones específicos para reportes de correos de phishing. Los usuarios de Gmail pueden reportar correos de phishing directamente desde la interfaz, y Outlook también ofrece mecanismos internos para reportar, lo que ayuda a que los proveedores de servicios de correo identifiquen y bloqueen más rápidamente ataques similares.
Una clave a destacar: El encabezado del correo electrónico es el verdadero documento de identidad de un correo electrónico, no el nombre del remitente que se puede llenar arbitrariamente. Aprender a ver e interpretar el campo Received y los resultados de autenticación en el encabezado es la forma técnica más directa de identificar correos electrónicos falsificados.