Correo — lo que cuenta el servidor

Cuando un servidor de correo recibe un mensaje, la conversación SMTP trae tres datos que él mismo observa: la dirección IP desde la que se conectó el otro lado, el nombre con que se presenta (el saludo HELO) y el remitente y destinatario del sobre (MAIL FROM y RCPT TO). El campo «De» que ve la persona en su programa de correo va dentro del mensaje, y quien lo envía lo puede escribir como quiera. Por eso en una investigación de red se parte de lo que el servidor vio, no de lo que el mensaje dice de sí mismo.

El registro de la pasarela guarda exactamente eso: IP, saludo, remitente del sobre, destinatario y el resultado.

Las comprobaciones de autenticación del remitente dicen si la IP que se conectó estaba autorizada por el dominio que dice representar (SPF), si el mensaje trae una firma válida de ese dominio (DKIM) y qué hacer con lo que no cuadra (DMARC). Un mensaje que se presenta con el nombre de tu propia empresa en el saludo y en el sobre, pero llega desde una IP que tu dominio no autoriza, falla SPF. Es la huella más limpia de una suplantación del dominio propio.

Abre SELECT * FROM registro_smtp y SELECT * FROM autenticacion_correo y cruza por la hora.

Un servidor de correo contesta distinto a un buzón que existe y a uno que no. Quien manda a muchas direcciones inventadas, una tras otra y desde una misma IP en segundos, está averiguando cuáles existen para armar después su lista. En el registro se ve como una ráfaga de «rechazado: buzón inexistente» mezclada con unos pocos «aceptado»: esos pocos son las direcciones que acaba de confirmar.

No todo rechazo es de este tipo. Un mensaje que no entra por pesado se rechaza por otro motivo y no cuenta como sondeo.

La ráfaga de la tarea anterior no entregó nada dañino: los mensajes fueron de tres líneas. Lo que el origen obtuvo fue información: qué buzones de la empresa existen. Eso es una recolección de direcciones, y su valor para quien la hace es preparar envíos dirigidos después. Para el informe importa decir qué se confirmó, a quién, y desde qué IP.

El último mensaje del día llegó a tesorería con SPF, DKIM y DMARC en «pass», y aun así es el más sospechoso. Quien registra un dominio casi idéntico al de la empresa puede configurar sus propias comprobaciones para que pasen: lo que verifican es que el dominio mostrado autorizó esa IP, no que el dominio sea de quien parece. La diferencia suele estar en una letra. Por eso la comparación del dominio visible contra el dominio real de la empresa es un paso aparte.