Suplantación de dominio

¿Pueden enviar correos haciéndose pasar por mi empresa?

Casi siempre sí, y no hace falta que nadie entre en tu buzón. Si tu dominio no lo impide de forma expresa, cualquiera puede poner tu dirección en el remitente y escribir a tus clientes en tu nombre. Se comprueba en diez segundos y se arregla publicando unos registros en tu dominio.

En nuestra muestra de 1194 dominios españoles de sectores esenciales, el 70% no lo impide. Es una configuración que casi nadie revisa porque nada falla mientras tanto: el correo entra y sale con normalidad.

Comprobación externa y pasiva: solo lee registros públicos de tu dominio. No accede a tu buzón ni modifica nada.

Los síntomas que te han traído hasta aquí

  • Un cliente te llama porque ha recibido una factura tuya con un número de cuenta que no es el tuyo.
  • Te llegan rebotes de correos que tú nunca has enviado, a direcciones que no conoces.
  • Alguien te reenvía un correo «tuyo» que tú no escribiste, y en tu carpeta de enviados no hay ni rastro.
  • Te ha llegado un correo que aparenta venir de tu propia dirección, a veces pidiendo dinero.
  • Un proveedor te reclama un pago que, según él, ya te confirmó por correo.

En todos estos casos la reacción habitual es cambiar la contraseña y pasar el antivirus. Casi nunca sirve de nada, porque el problema no está dentro de tu buzón: está en que tu dominio no le dice a nadie quién puede escribir en tu nombre.

Tres cosas distintas que la gente confunde

1 · Cuenta comprometida

Alguien tiene tu contraseña y entra de verdad en tu buzón. Verás correos en «Enviados» que tú no escribiste. Se arregla cambiando la contraseña y activando la verificación en dos pasos.

2 · Suplantación exacta

Nadie entra en ningún sitio: escriben tu dirección exacta en el remitente desde su propio servidor. No deja rastro en tu buzón. Esto es lo que se cierra desde el dominio, y es lo que mide esta página.

3 · Dominio parecido

Registran un dominio que se parece al tuyo y escriben desde ahí. Tu configuración no lo impide, porque técnicamente no es tu dominio. Se combate vigilando qué dominios parecidos aparecen.

Qué puede y qué no puede evitar

Conviene decirlo claro, porque en este sector se promete de más:

Sí lo evita

  • Que alguien use tu dominio exacto en el remitente.
  • Que esos correos lleguen a la bandeja de entrada de tus clientes.
  • Que no te enteres: los informes te dicen quién lo intenta.

No lo evita

  • Un dominio parecido al tuyo registrado por otro.
  • Que suplanten solo el nombre visible con otra dirección detrás.
  • Que engañen a alguien desde una cuenta de correo gratuita.
  • Que entren en tu buzón si tu contraseña se ha filtrado.

Si está pasando ahora mismo

  1. Avisa a tus clientes y proveedores por otro canal. Un teléfono o un WhatsApp. Diles que no atiendan cambios de número de cuenta por correo y que confirmen cualquier cambio llamando a un número que ya tuvieran de antes.
  2. Comprueba tu dominio con el formulario de arriba y guarda el resultado: es la foto del antes.
  3. Revisa si además hay cuenta comprometida. Mira los accesos recientes y la carpeta de enviados. Si hay algo, cambia contraseñas y activa la verificación en dos pasos antes de nada.
  4. Publica los registros en modo observación siguiendo la guía de tu proveedor de correo. En observación no se corta nada: solo empiezas a recibir informes de quién envía en tu nombre.
  5. Endurece cuando los informes lo confirmen. Cuando veas que todos tus envíos legítimos están identificados, pasa a bloquear. Ese es el momento en que la suplantación exacta deja de llegar.

Si el fraude ya se ha consumado y hay dinero de por medio, denúncialo. Puedes consultar gratis con el 017 de INCIBE, el servicio público de ayuda en ciberseguridad.

Qué encontramos al medirlo en España

Auditamos 1194 dominios españoles de sectores esenciales con comprobaciones externas y pasivas. Estos son los resultados en esa muestra, no una estimación del país entero:

70% no impide la suplantación exacta de su dominio.
32% no tiene ninguna política publicada · 38% la tiene solo en modo observación, sin bloquear · 51% no tiene firma digital detectable en su correo.

También hemos medido 9889 dominios de pymes españolas, donde la cifra sube al 85%: el desglose por sector y provincia está en el censo de la pyme española.

Puedes leer la metodología completa y el desglose por sector en el informe público. Los datos son reutilizables citando la fuente.

Compruébalo tú mismo

Mismo método, aplicado a tu dominio. Gratis, sin registro y sin tocar tus sistemas.

Comprobar mi dominio — 10 s

Guías por proveedor

Cuando sepas qué te falta, el arreglo depende de dónde tengas el correo y el dominio:

Preguntas frecuentes

¿Significa que han entrado en mi buzón?

Casi nunca. Lo habitual es que nadie haya accedido a tu cuenta: simplemente alguien escribe tu dirección en el remitente de un correo enviado desde su propio servidor, igual que cualquiera puede escribir tu nombre en el remite de un sobre de papel. Por eso no encuentras nada raro en «Enviados» ni cambiando la contraseña. Si además ves correos que tú no enviaste dentro de tu carpeta de enviados, o accesos desconocidos, entonces sí puede haber una cuenta comprometida: eso es otro problema y se trata cambiando contraseñas y activando la verificación en dos pasos.

¿Configurar esto puede romper mi correo?

Puede, si se hace de golpe y mal. Por eso el orden correcto empieza en modo observación (p=none): durante unas semanas no se bloquea nada y solo se recogen informes de quién envía en tu nombre. Cuando esos informes confirman que todos tus envíos legítimos (tu correo, tu facturación, tu newsletter, tu web) están correctamente identificados, se endurece. Saltarse la observación es la causa número uno de que a alguien deje de llegarle su propia facturación.

¿Esto evita todos los fraudes por correo?

No, y desconfía de quien lo prometa. Evita que alguien use exactamente tu dominio en el remitente. No evita que registren un dominio parecido al tuyo, ni que suplanten solo el nombre visible dejando otra dirección detrás, ni que engañen a alguien desde una cuenta de correo gratuita. Cierra una puerta concreta, que además es la más fácil de cerrar y la que casi nadie tiene cerrada.

¿Es legal comprobar mi dominio aquí?

Sí. La comprobación es externa y pasiva: solo lee información pública de tu dominio (los registros DNS y las cabeceras que tu propia web devuelve a cualquier visitante). No escanea puertos, no accede a nada privado y no modifica tus sistemas. Es exactamente lo que cualquiera puede ver desde fuera, y por eso importa cerrarlo.

¿Cuánto se tarda en arreglarlo?

La parte técnica son minutos: se publican dos o tres registros en el DNS del dominio. Lo que lleva tiempo es el periodo de observación previo al bloqueo, porque hay que descubrir todos los servicios que envían correo en tu nombre. Un mes es un plazo realista para llegar a bloqueo con seguridad.