Analizar las cabeceras del correo electrónico: Cómo encontrar fuentes de spam de forma rápida y fiable

A encabezado del correo electrónico le ayuda a reconocer correos electrónicos de phishing y spam de botnets incluso antes de que se abran. Analizando las cabeceras, puede rastrear con fiabilidad el remitente, la comprobación de autenticación, la cadena de entrega y las manipulaciones.

Puntos centrales

• Información de cabecera proporcionar detalles técnicos sobre el origen y la entrega de cada mensaje.
• SPF, DKIM y los valores DMARC muestran si un correo es legítimo o ha sido manipulado.
• Direcciones IP y las líneas Recibidas ayudan a encontrar el servidor de origen.
• Herramientas para el análisis de cabeceras facilitan la evaluación y visualización de características clave.
• Indicadores de spam como el estado X-Spam y los valores BCL indican contenidos no deseados o peligrosos.

¿Qué es una cabecera de correo electrónico?

Además del texto visible, cada correo electrónico contiene una sección invisible: el encabezamiento. Consiste en información técnica almacenada línea por línea. Entre otras cosas, muestra a través de qué servidor se envió el mensaje, cuándo se envió y cómo lo comprobó el servidor de correo del destinatario. También contiene resultados de autenticación e información de seguridad.

Una cabecera completa suele comenzar con el primer Recibido-línea - documenta cronológicamente cada nodo de la cadena de entrega. Cuanto antes aparezca, más cerca estará de la fuente original. También hay datos de control como Ruta de retorno, ID del mensaje, Resultados de la autenticación o Estado de X-Spam.

Campos de cabecera con relevancia para la seguridad

Algunos campos del encabezado de un correo electrónico son especialmente útiles si se quiere determinar el origen de un correo spam. Entre ellos se incluyen Cadena recibidasino también campos como Resultados de la autenticación y Encabezados X.

Los datos SPF, DKIM y DMARC también se transmiten en la cabecera - por ejemplo, así:

Campo	Descripción	Ejemplo
Resultados de la autenticación	Resultado de la autenticación del dominio	spf=pass; dkim=pass; dmarc=fail
Recibido	Historial de recepción a través de saltos SMTP	from mail.ejemplo.com (IP) by mx.google.com
Estado de X-Spam	Resultado de la comprobación del filtro antispam	SÍ, puntuación=9,1 requerido=5,0

Identificar las fuentes de spam en función de las líneas recibidas

El Líneas recibidas proporcionan información sobre las estaciones servidoras a través de las cuales se transportó un mensaje. La última línea Received representa el servidor original, es decir, la fuente real. Los remitentes de spam suelen utilizar cabeceras manipuladas o bucles para disfrazar la ruta.

En primer lugar, debe mirar la línea más antigua recibida y comprobar si contiene direcciones IP inusuales, nombres de servidores o desviaciones horarias inusuales. Mediante el mapeo GeoIP o la resolución DNS, puede averiguar dónde se encuentra este servidor y si pertenece a un proveedor legítimo, o si está registrado en redes de spam conocidas. En casos críticos, una comparación con bases de datos como Casa del Spam.

Reconocimiento de la información manipulada del remitente

Los spammers suelen manipular el campo de la dirección de vista ("De:"), los campos de respuesta o la ruta de retorno. Se hace creer al remitente que el correo electrónico procede de un socio o cliente de confianza. Sin embargo, las cabeceras revelan mucho sobre el servidor de correo técnicamente responsable: aquí hay contradicciones.

Si los campos "From:" y "Return-Path:" no coinciden, deberías sospechar. Un campo "Reply-To" que conduce a un dominio completamente diferente también indica intentos de engaño. Algunos correos electrónicos de phishing contienen incluso firmas DKIM falsas o nombres de dominio supuestamente válidos, pero la cabecera muestra la ruta real a través de la red.

Lectura de comprobaciones Auth: SPF, DKIM y DMARC

Para protegerse contra la suplantación de identidad y el correo robot, la mayoría de los servidores de correo se basan en procedimientos de autenticación. Estos generan resultados de comprobación legibles por máquina, por ejemplo:

• SPF: ¿El remitente estaba autorizado a enviar a través de esta IP?
• DKIM: ¿Coincide la clave criptográfica con el dominio de envío?
• DMARC: ¿La dirección del remitente y la autenticación van juntas?

Puede encontrar esta información en la línea "Authentication-Results:". Su aspecto varía en función del proveedor, pero suelen contener SPF=pass, dkim=fail o dmarc=pass. Si, por ejemplo, DMARC falla pero el correo parece correcto, debe analizar más a fondo la cabecera o realizar una comprobación DNS adicional. En estos casos, tiene sentido echar un vistazo más de cerca a los informes DMARC - soportados por herramientas como Informes de SecureNet para DMARC.

Evaluación del spam por los filtros: estado X-Spam y BCL

Muchos correos electrónicos contienen campos adicionales que han sido añadidos por un filtro interno de spam. Estos campos contienen una puntuación o estado que indica la probabilidad de que el contenido sea no deseado. Estos son particularmente comunes:

Estado X-Spam: Muestra si el mensaje supera el umbral del filtro interno (por ejemplo, SÍ, puntuación=9,3).

X-Spam-Level: Contiene varios asteriscos ("*") que representan un valor umbral.

Valor BCL: Los correos de Microsoft-family contienen Business Category Level - un factor de riesgo entre 0 y 9.

Si estos valores son muy altos, debe iniciar activamente el seguimiento y la investigación del remitente. A menudo se puede encontrar información crucial sobre la configuración y la puntuación utilizando herramientas de análisis o comparando con otras cabeceras del mismo canal.

Herramientas de análisis para la evaluación de cabeceras

Comprobar manualmente las cabeceras puede llevar mucho tiempo. Por eso, muchas herramientas ofrecen análisis gráficos, muestran los pasos intermedios en color o permiten realizar comprobaciones directas de IP. Las soluciones más populares son

• Microsoft Message Header Analyser (compatible con Office365)
• Google Header Analyser (para Gmail)
• Mailheader.net (multiplataforma, código abierto)

Estas herramientas hacen hincapié explícitamente en las evaluaciones SPF, DKIM o DMARC. Los mapeos IP-DNS, las configuraciones incorrectas o las cadenas incompletas también pueden reconocerse rápidamente de un vistazo. Me gusta utilizarlas cuando analizo el reenvío o los correos masivos entrantes.

Los datos de registro como fuente complementaria: análisis del servidor de correo

Además de la cabecera del correo electrónico, los registros del servidor de correo también proporcionan más información. Aquí puede identificar fácilmente flujos de mensajes correlacionados, entregas incorrectas o remitentes recurrentes. Los registros detallados son especialmente útiles en entornos empresariales con Postfix, Exim o Microsoft Exchange.

La combinación de cabeceras y registros proporciona una imagen más completa. Por ejemplo, busco cadenas de ID de mensajes sospechosas o dominios IP que entreguen repetidamente datos SPF incorrectos. El análisis técnico puede organizarse eficazmente, por ejemplo con Análisis de archivos de registro Postfix y rebotes automatizados.

Clasificación de las vías de transporte legítimas

No todas las líneas de cabecera de aspecto inusual son automáticamente sospechosas. Es posible que haya intervenido un servicio de terceros: Los servicios de boletín de noticias, los sistemas CRM o las pasarelas internas suelen cambiar las entradas DKIM/SPF. El contexto es crucial en este caso.

Debería guardar regularmente las cabeceras de referencia de remitentes legítimos. Esto le permitirá reconocer inmediatamente la diferencia en casos inusuales. Esto aumenta la velocidad de los diagnósticos de enrutamiento o errores críticos de entrega.

Detección fiable de fuentes de spam mediante el análisis de cabeceras

Las cabeceras de los correos electrónicos contienen numerosos indicios técnicos que le permiten reconocer el uso indebido y los contenidos no deseados de forma mucho más específica. Puede descubrir cadenas de servidores ocultas, errores de autenticación o falsificaciones selectivas. Esto es mucho más eficaz que una comprobación basada únicamente en el contenido.

Comprobando regularmente las cabeceras sospechosas y documentando las anomalías, puede mejorar sus índices de entrega y asegurar el enrutamiento de su correo. También puede proteger su infraestructura de entradas en listas y escaladas de abuso.

Procedimientos avanzados para casos complejos

Especialmente en entornos de grandes empresas o con un tráfico intensivo de correo electrónico, suele ocurrir que en las líneas recibidas aparezcan varias estaciones de reenvío e intermedias. Por ejemplo, las empresas envían a través de proveedores externos de listas de correo o utilizan dispositivos antispam centralizados. Esto da lugar a campos de cabecera adicionales Received y X, que pueden parecer confusos a primera vista. En tales situaciones, puede ser útil dibujar diagramas detallados o generar una lista automatizada utilizando herramientas de análisis de cabeceras.

Si a menudo tiene que lidiar con cabeceras complejas, también puede crear una lista de comprobación. Ésta contiene los elementos típicos y su contenido esperado. En la lista, indique qué IPs están almacenadas como servidores de origen autorizados en su zona SPF y qué selectores DKIM deben aparecer en los correos electrónicos. En cuanto encuentre desviaciones, será un buen indicador de una posible manipulación del encabezado.

• Comparación con las cabeceras de referencia: Tenga a mano ejemplos de correos electrónicos legítimos de su dominio.
• Mantenimiento regular de sus registros DNS: Las estructuras IP modificadas deben reflejarse siempre con prontitud en SPF y DMARC.
• Consideración de los transportistas: Compruebe si se utiliza ARC (Authenticated Received Chain) para transmitir información de autenticación.

ID de mensaje y su significado

El campo también revela ID del mensaje. A cada mensaje de correo electrónico enviado se le asigna un identificador único cuando se crea o transporta. Sin embargo, algunas campañas de spam utilizan identificadores de mensaje genéricos o completamente aleatorios que no se pueden relacionar con el remitente o el contenido. Los ID de mensaje duplicados o los ID llamativamente sencillos también pueden indicar la existencia de herramientas de spam automatizadas.

En algunos casos, puede utilizar archivos de registro o sistemas de archivo para encontrar identificadores de mensajes similares y reconocer así patrones. Esto permite detectar más rápidamente las campañas de phishing en serie. Si el ID del mensaje tampoco coincide con el dominio del campo "De:", aumenta la probabilidad de que aquí se haya falsificado la información del remitente.

Normas de seguridad complementarias: ARC y BIMI

La cadena de recepción autenticada (ARC) puede utilizarse para flujos de correo complejos con listas de reenvío o de correo en particular. Permite transmitir los resultados de autenticación a través de estaciones intermedias para que los servidores de correo de los destinatarios puedan juzgar mejor si un correo es legítimo. Puede reconocerlo en la cabecera por líneas como ARC-Seal o ARC-Autenticación-Resultados. Si estas cabeceras se gestionan correctamente, una firma DKIM original sigue siendo válida incluso después del reenvío.

También existen iniciativas más recientes como BIMI (Brand Indicators for Message Identification), que puede mostrar el logotipo del remitente si DMARC se aplica correctamente. Aunque BIMI no es un componente directo del encabezado del correo electrónico en términos de la cadena de entrega, sólo funciona de forma fiable si los datos del encabezado, como DKIM y DMARC, pueden analizarse correctamente. De este modo, BIMI proporciona una indicación visual de si un correo electrónico procede realmente del propietario de la marca o si se trata de una falsificación.

Errores de configuración típicos y cómo detectarlos

No todas las cabeceras llamativas son el resultado de una intención maliciosa. A menudo hay detrás de ellos simples errores de configuración. Por ejemplo, su propio servidor de correo puede entregar inadvertidamente entradas SPF o DKIM incorrectas si no ha ajustado correctamente el DNS al cambiar de host. Las entradas con "softfail" en lugar de "pass" también indican a veces que la IP del remitente no está incluida en el registro SPF.

• Falta la firma DKIM: Servicios de firma accidentalmente no activados o configurados incorrectamente.
• IPs inapropiadas en la entrada SPF: IPs nuevas o borradas no actualizadas.
• Subdominios olvidados: Los subdominios se pasan por alto con facilidad, especialmente en las grandes organizaciones, por lo que no se introduce en ellos un registro SPF correcto.

Si sigue encontrando la misma configuración errónea durante la comprobación del encabezado, debería verificar la entrada DNS del remitente y corregir cualquier error tipográfico. Esto reducirá la tasa de falsos positivos de correos legítimos y, al mismo tiempo, garantizará una defensa eficaz contra el spam.

Control y tiempos de respuesta

Una estrategia antispam eficaz requiere ser capaz de reconocer rápidamente los correos electrónicos llamativos y reaccionar en consecuencia. Dependiendo de lo grande que sea su red o del número de correos electrónicos que reciba cada día, la automatización puede merecer la pena. Muchas empresas instalan sistemas SIEM o de gestión de registros que analizan automáticamente las cabeceras de los correos electrónicos y comprueban la existencia de amenazas. Se definen determinados umbrales a partir de los cuales se notifica un incidente.

Otra medida útil es la formación periódica de los empleados que trabajan en atención al cliente o en el equipo informático. Deben saber reconocer inmediatamente los peores indicadores de spam en el encabezamiento. De este modo, se puede evitar que un correo electrónico crítico permanezca demasiado tiempo en el sistema antes de ser identificado como una amenaza. Una vez que se ha reconocido un incidente, una rutina clara de respuesta a incidentes apoya la investigación posterior. Aquí es donde vuelven a entrar en juego las herramientas y técnicas descritas en el artículo.

Integración del análisis de cabeceras en el proceso global de seguridad

Un análisis exhaustivo del encabezado nunca debe realizarse de forma aislada. Puedes combinarlo con otras medidas de seguridad para crear una cadena de defensa holística. Por ejemplo, tras encontrar una dirección IP sospechosa, no sólo se comprueba el estado SPF, sino que también se lleva a cabo un análisis antivirus y de enlaces en el cuerpo del mensaje. Las verdaderas oleadas de spam de botnets suelen basarse en múltiples ángulos de ataque, como archivos adjuntos manipulados, enlaces falsificados o troyanos.

Si utiliza una pila de seguridad estandarizada, también puede combinar los resultados del análisis de encabezados con información de cortafuegos, seguridad de puntos finales o registros de servidores web. Una IP que esté provocando inicios de sesión fallidos o ataques DDoS para varios servicios resulta especialmente sospechosa si aparece al mismo tiempo en las líneas de correo electrónico recibidas. Esto le permite lograr un tiempo de respuesta significativamente más rápido y una evaluación de seguridad exhaustiva.

Buenas prácticas para una evaluación eficaz de las cabeceras

Para tener éxito a largo plazo, es aconsejable respetar algunos principios básicos a la hora de analizar las cabeceras. Por ejemplo

• Proceda sistemáticamente: Trabajar según una secuencia definida, por ejemplo, primero las líneas recibidas, luego los resultados de autenticación, seguidos de las cabeceras X.
• Actualizar regularmente: Mantenga actualizadas las bases de conocimientos y las cabeceras de referencia de sus interlocutores más importantes.
• Utilice herramientas automatizadas: Algunas cosas pueden hacerse de forma más rápida y segura utilizando herramientas de análisis especializadas, sobre todo en entornos de gran volumen.
• Documentación sostenible: Cualquier anomalía en la cabecera puede formar parte de un patrón más amplio. Utiliza tickets o logs internos para gestionar las incidencias de forma trazable.

En los equipos, en particular, es una buena idea mantener una base de datos de conocimientos y recopilar ejemplos concretos de correos electrónicos, incluidos los encabezados, los resultados de la autenticación y un breve resumen del análisis. De este modo, incluso los nuevos compañeros pueden aprender rápidamente lo que es importante a la hora de analizar un correo electrónico sospechoso.

Beneficios compartidos para el remitente y el destinatario

Una infraestructura de correo electrónico limpia y rastreable no sólo es importante para los destinatarios, sino también para usted como remitente. Cualquiera que envíe boletines profesionales o correos electrónicos transaccionales debe asegurarse de que todos los mecanismos de autenticación están configurados correctamente. De lo contrario, los correos electrónicos pueden acabar en la carpeta de spam involuntariamente. Una entrada SPF correcta, firmas DKIM válidas y una política DMARC adecuada garantizan que los remitentes reputados sean inmediatamente reconocibles y tengan menos probabilidades de quedar atrapados en filtros cuestionables.

A su vez, los destinatarios se benefician de rutas y resultados de autenticación claramente visibles, ya que pueden detectar posibles ataques o intentos de falsificación mucho más rápidamente. El resultado es un intercambio de correo electrónico transparente por ambas partes, que genera confianza y minimiza las superficies de ataque.

Resumen

El análisis de cabeceras es una de las técnicas más importantes para comprobar el tráfico de correo electrónico y reconocer el spam o los ataques de phishing antes de que causen daños. Observando las cadenas recibidas, las comprobaciones de autenticación (SPF, DKIM, DMARC) y los campos insertados específicamente, como los valores X-Spam-Status o BCL, se pueden descubrir trucos ocultos e intentos de engaño dirigidos. En entornos complejos, ayuda proceder sistemáticamente, mantener encabezados de referencia y documentar con precisión las desviaciones. Al mismo tiempo, merece la pena combinar herramientas y análisis de registros para obtener resultados fiables.

Quienes analizan con regularidad las cabeceras de los correos electrónicos y tratan los patrones que descubren no sólo se benefician de una mayor seguridad y menores índices de spam, sino que también mejoran su propio índice de entrega. Un enfoque estructurado, las herramientas adecuadas y una base sólida de conocimientos sobre los registros DNS, el comportamiento de los servidores de correo y las configuraciones propensas al fiasco son las claves para un tráfico de correo fiable y a prueba de fallos.