Spam: el volumen
El spam es correo no solicitado enviado de forma masiva. Es molesto y hace perder tiempo, pero rara vez busca una víctima concreta.
Lo que lo delata: la reputación del servidor o del dominio que lo envía, un dominio creado hace pocos días, un contenido publicitario repetido de forma idéntica a miles de destinatarios. Un filtro de reputación y de contenido lo detiene bien, y una puesta en espera selectiva de los remitentes desconocidos descarta parte de los envíos automatizados.
Hay que distinguirlo del correo gris. Un boletín al que alguien se ha suscrito o una promoción de un proveedor conocido no son spam. Clasificarlos aparte evita saturar el buzón sin bloquear un mensaje esperado.
Phishing: la credibilidad
El servicio nacional francés de asistencia a las víctimas, cybermalveillance.gouv.fr, describe el phishing como un mensaje falso que se hace pasar por un tercero de confianza (banco, administración, proveedor, red social) para robar identificadores, contraseñas o datos bancarios. Las formas habituales en la empresa:
- una página falsa de inicio de sesión en el correo o en el servicio de archivos compartidos;
- una marca conocida imitada: empresa de transporte, banco, editor de software;
- un código QR dentro de una imagen, que traslada el enlace del ordenador al teléfono;
- un mensaje que invita a llamar a un número de soporte falso.
Aquí la autenticación del dominio no basta. Un estafador que compra un dominio parecido al suyo puede configurar perfectamente SPF, DKIM y DMARC para ese dominio: su mensaje es auténtico… para un dominio que no es el suyo. Lo que lo delata es el parecido con una marca o un dominio conocido, la antigüedad del dominio, la reputación de los enlaces, el contenido.
Cuando el phishing apunta a una persona concreta para obtener una transferencia, se convierte en un fraude del CEO: consulte suplantación y fraude del CEO. Lo que SPF, DKIM y DMARC detienen realmente se detalla en SPF, DKIM y DMARC.
Malware: el adjunto o el enlace
El programa malicioso llega en un archivo adjunto o detrás de un enlace: documento de Office que pide activar las macros, PDF malicioso, archivo HTML que imita una página de inicio de sesión, archivo comprimido, imagen con un código QR. El mensaje en sí puede ser banal («su factura», «documento compartido»).
La respuesta se centra en el archivo y en el enlace: antivirus, inspección de las macros y de los PDF, lectura de los códigos QR, reputación de las direcciones y, después, verificación en el momento del clic. La guía archivos adjuntos, enlaces y ransomware detalla lo que se examina y lo que sigue siendo un gesto humano.
Cuenta comprometida: el buzón real
Aquí el mensaje sale de un buzón real, el de un proveedor, un cliente o un compañero cuya contraseña ha sido robada. SPF se supera, la firma DKIM es válida, el remitente es conocido. Un filtro que solo se pregunta «¿el remitente es desconocido o está mal autenticado?» no ve nada.
Las señales están en el comportamiento:
- un interlocutor habitual que de repente escribe a destinatarios inusuales, o a muchos a la vez;
- un tono, un idioma o un horario que no son los suyos;
- una petición nueva: cambio de datos bancarios, enlace de uso compartido inesperado, documento «para firmar con urgencia»;
- una respuesta insertada en un hilo de conversación antiguo, para aprovechar su credibilidad.
Hay que separar dos situaciones. Cuando es la cuenta de un tercero la que le escribe, el filtro de entrada puede detectar la anomalía. Cuando es su propia cuenta, el asunto corresponde ante todo a su servicio de correo: contraseña, doble autenticación, alertas de inicio de sesión, reglas de reenvío añadidas por el atacante. No es el mismo proyecto que el phishing externo, aunque a menudo empiece con un phishing.
Cuatro amenazas, cuatro respuestas
| Amenaza | Lo que la delata | Respuesta principal | Lo que no basta |
|---|
| Spam | Volumen, reputación, dominio reciente | Reputación y contenido, puesta en espera selectiva | Eliminar a mano |
| Phishing | Marca o dominio imitado, enlace dudoso | Detección de suplantación, análisis de enlaces y códigos QR | SPF, DKIM y DMARC por sí solos |
| Malware | Adjunto o enlace | Análisis de archivos, protección en el clic | Un antispam de reputación |
| Cuenta comprometida | Cambio de hábitos de un remitente conocido | Detección de anomalías y, después, seguridad de la cuenta | Una lista negra de remitentes |
Un ejemplo, a título ilustrativo. El mismo lunes, una pyme recibe una oleada de publicidad de impresoras, un falso aviso de entrega con un código QR, una «factura» en formato HTML y un mensaje del contable de un cliente habitual que anuncia unos datos bancarios nuevos. Los tres primeros corresponden al filtro. El cuarto procede de un buzón real: el filtro puede señalar la anomalía, pero lo que decide es una llamada al número del cliente ya conocido.
Cómo funciona un filtrado moderno
Un filtro reciente no toma su decisión con un solo criterio. Calcula una puntuación a partir de varias señales:
- la autenticidad del remitente: SPF, DKIM, DMARC, reputación del servidor y del dominio, antigüedad del dominio;
- el mensaje: enlaces, texto, escenarios de estafa conocidos, parecido con una marca o un nombre interno;
- los adjuntos: antivirus, macros, PDF, imágenes;
- el contexto: el mismo mensaje enviado a muchos destinatarios (una campaña), o un remitente habitual que cambia de comportamiento.
La puntuación conduce a una decisión gradual: entregar, poner en cuarentena, rechazar o aplazar a un remitente desconocido. La cuarentena importa tanto como el rechazo: un mensaje legítimo apartado por error debe poder encontrarse y liberarse; consulte Cuarentena, falsos positivos y notificaciones.
Las notificaciones de los usuarios, «esto es spam» o «esto es legítimo», ajustan después la reputación de los remitentes. Un filtro que aprende de sus errores genera menos falsos positivos.
Preguntas frecuentes
¿Por qué se sigue recibiendo spam con un buen filtro?
Porque un filtro arbitra entre bloquear demasiado y dejar pasar. Un ajuste que no deja pasar nada también aparta mensajes esperados.
¿Un mensaje que supera DMARC es seguro?
No. Demuestra que el dominio mostrado ha autorizado el envío, no que el contenido sea honesto. Consulte SPF, DKIM y DMARC.
¿Qué hacer con un mensaje sospechoso ya recibido?
No hacer clic, no responder y notificarlo al administrador en lugar de eliminarlo. Cybermalveillance.gouv.fr recomienda también, en caso de duda, contactar con el organismo por un medio que ya se conozca.
La cuenta de un compañero envía mensajes extraños: ¿qué hacer?
Avisar al administrador del correo, que cambia la contraseña y revisa la doble autenticación y las reglas de reenvío. No es un ajuste del filtro.
Dónde se sitúa Klytic
Klytic MTA analiza cada mensaje por capas, antes del buzón, delante de cualquier servicio de correo.
- Autenticidad (Esencial y Avanzado): SPF, DKIM, DMARC, incluso para los mensajes reenviados, reputación de los servidores y de los dominios, antigüedad de los dominios, puesta en espera selectiva de los remitentes desconocidos.
- Mensaje (Esencial y Avanzado): antiphishing, suplantación de marca, dominios similares y nombre visible, códigos QR, detección de campañas y de comportamientos inusuales de un remitente, clasificación de los boletines.
- Adjuntos (Esencial y Avanzado): antivirus, macros de Office, PDF; los adjuntos peligrosos se retiran con un mensaje informativo. La oferta Avanzado añade los archivos HTML maliciosos y el texto oculto en las imágenes.
- En el momento del clic (Avanzado): los enlaces se vuelven a analizar cuando el usuario hace clic.
- Fraude financiero (Avanzado): fraude del CEO, facturas falsas, transferencias falsas y otros escenarios.
Las notificaciones de los usuarios alimentan un aprendizaje compartido entre las instancias, y los mensajes con puntuación ambigua los arbitra un modelo de IA, en ambas ofertas. Lo que recibe ese modelo se explica en La IA en el filtrado del correo electrónico.
Límite: Klytic MTA ve el correo que pasa por él. La seguridad de sus propias cuentas (contraseñas, doble autenticación, inicios de sesión) sigue dependiendo de su servicio de correo.
Fuentes
Consultadas en octubre de 2026.
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (Qué hacer en caso de phishing): definición del phishing, suplantación de un tercero de confianza, robo de identificadores y de datos bancarios, consejos de verificación. cybermalveillance.gouv.fr
- RFC 7489, DMARC: el mecanismo no trata ni los dominios visualmente parecidos, ni el abuso del nombre visible, ni el análisis del contenido. rfc-editor.org
- Klytic, página Klytic MTA: capas de análisis y módulos de las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX. klytic.com
