Triaje de un adjunto de correo

Un correo trae tres comprobaciones de autenticación. SPF verifica que el servidor que entregó el mensaje está autorizado por el dominio del sobre (el que usa para los rebotes). DKIM verifica una firma criptográfica del dominio que firmó el mensaje. DMARC exige que alguno de los dos coincida con el dominio que la persona ve en el campo «From». Por eso un correo puede pasar SPF y DKIM y aun así fallar DMARC: aprobó para otro dominio, no para el que aparenta.

Dicho de otro modo, un «pass» responde «quién envió esto realmente», no «es de fiar». Un atacante que controla su propio dominio puede pasar SPF y DKIM sin esfuerzo. Abre la consola y consulta SELECT * FROM correo.

Las cabeceras de un correo se leen de abajo hacia arriba: cada servidor que lo recibe añade una línea Received encima de las anteriores, de modo que el salto más antiguo está al final. El campo Return-Path guarda el dominio del sobre, y es el que SPF evalúa. Ese dominio, junto con la dirección IP del primer salto externo, son los dos datos más estables para pivotar: el texto del asunto y el nombre del remitente los cambia cualquiera en un segundo.

Busca en la tabla el resultado de SPF y el dominio al que se refiere.

El nombre de un adjunto lo elige quien lo envía; el tipo real lo dicen los primeros bytes del archivo, y el tipo MIME que declara el correo es otro dato escrito por el remitente. Tres fuentes, tres respuestas posibles. Un adjunto cuyo nombre aparenta un documento pero cuyo tipo real es otro merece prioridad, porque la diferencia es intencional con alta probabilidad.

Hay un detalle más: el explorador de Windows suele ocultar la extensión de los accesos directos, de modo que un nombre con dos extensiones puede leerse como una sola. La columna «nombre visto con la extensión oculta» recoge lo que leería una persona. Consulta SELECT * FROM adjuntos.

En un triaje los tiempos importan: entre que un adjunto llega y alguien lo reporta, cualquiera pudo abrirlo. Esa ventana se calcula con dos horas del caso y delimita qué hay que revisar en los equipos. La tabla de cabeceras registra cuándo se entregó el correo y cuándo avisó la persona; la diferencia no está escrita en ninguna celda.

La regla de oro del triaje es que el adjunto no se abre para ver qué es. Se hace lo que no depende de abrirlo: calcular su huella y buscarla en lo ya conocido, confirmar su tipo real, anotar quién lo recibió y qué dice el correo que lo trajo. Abrirlo «un momento, en una máquina de pruebas» sigue siendo ejecutar contenido desconocido, y la estación de análisis existe para que eso lo haga solo quien tiene permiso y preparación.