Klytic

Inicio›Guías›Seguridad del correo electrónico

Seguridad del correo electrónico · Comprender

Spam, phishing, malware y cuenta comprometida

Cuatro problemas distintos entran por la misma puerta. El spam se mide por su volumen, el phishing por su credibilidad, el malware por su archivo adjunto o su enlace, y la cuenta comprometida escribe desde un buzón real. Un antispam basado en la reputación apunta sobre todo al primero: por eso ya no basta, y por eso un filtro moderno cruza varias señales antes de decidir.

Actualizado en octubre de 20266 minFuentes oficiales citadas

Spam: el volumen

El spam es correo no solicitado enviado de forma masiva. Es molesto y hace perder tiempo, pero rara vez busca una víctima concreta.

Lo que lo delata: la reputación del servidor o del dominio que lo envía, un dominio creado hace pocos días, un contenido publicitario repetido de forma idéntica a miles de destinatarios. Un filtro de reputación y de contenido lo detiene bien, y una puesta en espera selectiva de los remitentes desconocidos descarta parte de los envíos automatizados.

Hay que distinguirlo del correo gris. Un boletín al que alguien se ha suscrito o una promoción de un proveedor conocido no son spam. Clasificarlos aparte evita saturar el buzón sin bloquear un mensaje esperado.

Phishing: la credibilidad

El servicio nacional francés de asistencia a las víctimas, cybermalveillance.gouv.fr, describe el phishing como un mensaje falso que se hace pasar por un tercero de confianza (banco, administración, proveedor, red social) para robar identificadores, contraseñas o datos bancarios. Las formas habituales en la empresa:

  • una página falsa de inicio de sesión en el correo o en el servicio de archivos compartidos;
  • una marca conocida imitada: empresa de transporte, banco, editor de software;
  • un código QR dentro de una imagen, que traslada el enlace del ordenador al teléfono;
  • un mensaje que invita a llamar a un número de soporte falso.

Aquí la autenticación del dominio no basta. Un estafador que compra un dominio parecido al suyo puede configurar perfectamente SPF, DKIM y DMARC para ese dominio: su mensaje es auténtico… para un dominio que no es el suyo. Lo que lo delata es el parecido con una marca o un dominio conocido, la antigüedad del dominio, la reputación de los enlaces, el contenido.

Cuando el phishing apunta a una persona concreta para obtener una transferencia, se convierte en un fraude del CEO: consulte suplantación y fraude del CEO. Lo que SPF, DKIM y DMARC detienen realmente se detalla en SPF, DKIM y DMARC.

Malware: el adjunto o el enlace

El programa malicioso llega en un archivo adjunto o detrás de un enlace: documento de Office que pide activar las macros, PDF malicioso, archivo HTML que imita una página de inicio de sesión, archivo comprimido, imagen con un código QR. El mensaje en sí puede ser banal («su factura», «documento compartido»).

La respuesta se centra en el archivo y en el enlace: antivirus, inspección de las macros y de los PDF, lectura de los códigos QR, reputación de las direcciones y, después, verificación en el momento del clic. La guía archivos adjuntos, enlaces y ransomware detalla lo que se examina y lo que sigue siendo un gesto humano.

Cuenta comprometida: el buzón real

Aquí el mensaje sale de un buzón real, el de un proveedor, un cliente o un compañero cuya contraseña ha sido robada. SPF se supera, la firma DKIM es válida, el remitente es conocido. Un filtro que solo se pregunta «¿el remitente es desconocido o está mal autenticado?» no ve nada.

Las señales están en el comportamiento:

  • un interlocutor habitual que de repente escribe a destinatarios inusuales, o a muchos a la vez;
  • un tono, un idioma o un horario que no son los suyos;
  • una petición nueva: cambio de datos bancarios, enlace de uso compartido inesperado, documento «para firmar con urgencia»;
  • una respuesta insertada en un hilo de conversación antiguo, para aprovechar su credibilidad.

Hay que separar dos situaciones. Cuando es la cuenta de un tercero la que le escribe, el filtro de entrada puede detectar la anomalía. Cuando es su propia cuenta, el asunto corresponde ante todo a su servicio de correo: contraseña, doble autenticación, alertas de inicio de sesión, reglas de reenvío añadidas por el atacante. No es el mismo proyecto que el phishing externo, aunque a menudo empiece con un phishing.

Cuatro amenazas, cuatro respuestas

AmenazaLo que la delataRespuesta principalLo que no basta
SpamVolumen, reputación, dominio recienteReputación y contenido, puesta en espera selectivaEliminar a mano
PhishingMarca o dominio imitado, enlace dudosoDetección de suplantación, análisis de enlaces y códigos QRSPF, DKIM y DMARC por sí solos
MalwareAdjunto o enlaceAnálisis de archivos, protección en el clicUn antispam de reputación
Cuenta comprometidaCambio de hábitos de un remitente conocidoDetección de anomalías y, después, seguridad de la cuentaUna lista negra de remitentes

Un ejemplo, a título ilustrativo. El mismo lunes, una pyme recibe una oleada de publicidad de impresoras, un falso aviso de entrega con un código QR, una «factura» en formato HTML y un mensaje del contable de un cliente habitual que anuncia unos datos bancarios nuevos. Los tres primeros corresponden al filtro. El cuarto procede de un buzón real: el filtro puede señalar la anomalía, pero lo que decide es una llamada al número del cliente ya conocido.

Cómo funciona un filtrado moderno

Un filtro reciente no toma su decisión con un solo criterio. Calcula una puntuación a partir de varias señales:

  • la autenticidad del remitente: SPF, DKIM, DMARC, reputación del servidor y del dominio, antigüedad del dominio;
  • el mensaje: enlaces, texto, escenarios de estafa conocidos, parecido con una marca o un nombre interno;
  • los adjuntos: antivirus, macros, PDF, imágenes;
  • el contexto: el mismo mensaje enviado a muchos destinatarios (una campaña), o un remitente habitual que cambia de comportamiento.

La puntuación conduce a una decisión gradual: entregar, poner en cuarentena, rechazar o aplazar a un remitente desconocido. La cuarentena importa tanto como el rechazo: un mensaje legítimo apartado por error debe poder encontrarse y liberarse; consulte Cuarentena, falsos positivos y notificaciones.

Las notificaciones de los usuarios, «esto es spam» o «esto es legítimo», ajustan después la reputación de los remitentes. Un filtro que aprende de sus errores genera menos falsos positivos.

Preguntas frecuentes

¿Por qué se sigue recibiendo spam con un buen filtro?

Porque un filtro arbitra entre bloquear demasiado y dejar pasar. Un ajuste que no deja pasar nada también aparta mensajes esperados.

¿Un mensaje que supera DMARC es seguro?

No. Demuestra que el dominio mostrado ha autorizado el envío, no que el contenido sea honesto. Consulte SPF, DKIM y DMARC.

¿Qué hacer con un mensaje sospechoso ya recibido?

No hacer clic, no responder y notificarlo al administrador en lugar de eliminarlo. Cybermalveillance.gouv.fr recomienda también, en caso de duda, contactar con el organismo por un medio que ya se conozca.

La cuenta de un compañero envía mensajes extraños: ¿qué hacer?

Avisar al administrador del correo, que cambia la contraseña y revisa la doble autenticación y las reglas de reenvío. No es un ajuste del filtro.

Dónde se sitúa Klytic

Klytic MTA analiza cada mensaje por capas, antes del buzón, delante de cualquier servicio de correo.

  • Autenticidad (Esencial y Avanzado): SPF, DKIM, DMARC, incluso para los mensajes reenviados, reputación de los servidores y de los dominios, antigüedad de los dominios, puesta en espera selectiva de los remitentes desconocidos.
  • Mensaje (Esencial y Avanzado): antiphishing, suplantación de marca, dominios similares y nombre visible, códigos QR, detección de campañas y de comportamientos inusuales de un remitente, clasificación de los boletines.
  • Adjuntos (Esencial y Avanzado): antivirus, macros de Office, PDF; los adjuntos peligrosos se retiran con un mensaje informativo. La oferta Avanzado añade los archivos HTML maliciosos y el texto oculto en las imágenes.
  • En el momento del clic (Avanzado): los enlaces se vuelven a analizar cuando el usuario hace clic.
  • Fraude financiero (Avanzado): fraude del CEO, facturas falsas, transferencias falsas y otros escenarios.

Las notificaciones de los usuarios alimentan un aprendizaje compartido entre las instancias, y los mensajes con puntuación ambigua los arbitra un modelo de IA, en ambas ofertas. Lo que recibe ese modelo se explica en La IA en el filtrado del correo electrónico.

Límite: Klytic MTA ve el correo que pasa por él. La seguridad de sus propias cuentas (contraseñas, doble autenticación, inicios de sesión) sigue dependiendo de su servicio de correo.

Fuentes

Consultadas en octubre de 2026.

  • Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?» (Qué hacer en caso de phishing): definición del phishing, suplantación de un tercero de confianza, robo de identificadores y de datos bancarios, consejos de verificación. cybermalveillance.gouv.fr
  • RFC 7489, DMARC: el mecanismo no trata ni los dominios visualmente parecidos, ni el abuso del nombre visible, ni el análisis del contenido. rfc-editor.org
  • Klytic, página Klytic MTA: capas de análisis y módulos de las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX. klytic.com

Detener lo que un antispam no ve

Prueba gratuita de 30 días, delante de su servicio de correo actual.

Probar Klytic MTA →

Ver las dos ofertas

Lea también

Comprender · Seguridad del correo electrónicoSuplantación y fraude del CEOEl fraude del CEO busca una transferencia, a menudo sin virus. Cuatro formas de suplantación, lo que detecta el filtro y el control que sigue siendo humano.6 min de lecturaLeer →Comprender · Seguridad del correo electrónicoSPF, DKIM y DMARC: qué protegen y qué no protegenSPF, DKIM y DMARC impiden utilizar exactamente su dominio. No leen el mensaje: qué detienen, qué pasa y cómo desplegarlos.6 min de lecturaLeer →Comprender · Seguridad del correo electrónicoArchivos adjuntos, enlaces y ransomware recibidos por correo electrónicoLo que un filtro examina en un adjunto y en un enlace, por qué volver a verificar en el clic, y lo que sigue siendo un gesto humano o tarea de la copia de seguridad.6 min de lecturaLeer →

Oferta de bienvenida

30 días de prueba gratuita, migración acompañada

Oferta de prueba sin compromiso. Un asesor le llamará para entender sus necesidades y preparar su espacio Klytic.

🚀 Empezar la prueba gratuita Ver las tarifas