Más allá de los protocolos de correo: por qué SPF, DKIM y DMARC no bastan frente a los deepfakes

By Mirko Peters · 2026-08-26

Cuando se trata de proteger los buzones corporativos, las organizaciones llevan mucho tiempo confiando en los protocolos estándar de autenticación de correo electrónico como su principal escudo. Si has dedicado un…

Automatically translated with AI from the original post. Read the English original

Cuando se trata de proteger los buzones corporativos, las organizaciones llevan mucho tiempo confiando en los protocolos estándar de autenticación de correo como su principal escudo. Si has pasado algún tiempo en seguridad de TI, conoces la santísima trinidad de la defensa del correo: Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) y Domain-based Message Authentication, Reporting, and Conformance (DMARC). Durante años, configurar correctamente estos registros significaba poder bloquear eficazmente la suplantación de dominios, mantener alejados los correos de phishing y asegurarse de que los mensajes que afirmaban proceder de tu organización realmente se originaban en infraestructura autorizada. Pero el panorama de la ciberseguridad ha cambiado radicalmente, y las herramientas en las que hemos confiado durante décadas se enfrentan a un punto ciego sin precedentes.

Ha llegado la era de la inteligencia artificial y los medios sintéticos. Los ciberdelincuentes ya no dependen únicamente de correos de phishing torpes llenos de erratas. En cambio, están aprovechando la IA generativa avanzada para ejecutar sofisticados ataques de Business Email Compromise (BEC) potenciados con deepfakes. Estas amenazas eluden con facilidad las comprobaciones técnicas de los protocolos tradicionales porque el problema ya no es solo quién envió el correo, sino la intención maliciosa oculta en un contenido que los protocolos técnicos simplemente no pueden leer. En este artículo veremos por qué tu pila actual de seguridad del correo se queda corta frente a las amenazas de deepfake y qué debe hacer tu organización para construir una defensa realmente resiliente.

Introducción a la seguridad del correo y las amenazas de deepfake

Para entender la magnitud del desafío, primero debemos ver cómo se han adaptado los actores de amenazas. Los protocolos tradicionales de seguridad del correo se diseñaron para un internet más sencillo. Se crearon para impedir que los malos actores secuestraran tu nombre de dominio o inyectaran cabeceras falsas en los mensajes. Cuando se implementan correctamente, DMARC, SPF y DKIM crean un bucle de verificación sólido que indica a los servidores receptores si un correo tiene autorización e integridad. Sin embargo, estos protocolos son, en esencia, validadores de infraestructura, no árbitros del contenido. No leen el texto, no escuchan el audio adjunto ni evalúan si la persona que pide una transferencia bancaria es realmente quien dice ser.

A medida que las herramientas de inteligencia artificial se han democratizado, la barrera de entrada para crear medios sintéticos hiperrealistas se ha desplomado. Hoy los atacantes pueden recopilar clips de vídeo públicos, grabaciones de conferencias y notas de voz de directivos corporativos para clonar sus voces y su imagen con una precisión sorprendente. Las estadísticas muestran un aumento espectacular de estas tácticas. En 2023, menos del 5 por ciento de los ataques de Business Email Compromise incorporaba tecnología deepfake. En 2026, esa cifra subió al 40 por ciento. Además, el FBI informó de un aumento interanual del 25 por ciento en ataques BEC habilitados por deepfakes, mientras que el total de incidentes de deepfake se ha disparado más de un 300 por ciento al año. Cuando un atacante puede combinar un correo con autenticación impecable con un clon de voz o un deepfake de vídeo en tiempo real, tus filtros de correo habituales se vuelven prácticamente inútiles.

Explicación de los ataques BEC con deepfake

Qué es el BEC con deepfake

Es posible que conozcas el Business Email Compromise tradicional, en el que un estafador se hace pasar por un proveedor o un directivo de alto nivel para solicitar pagos urgentes o datos sensibles. El BEC con deepfake toma ese mismo manual malicioso y lo potencia con inteligencia artificial. En lugar de limitarse a un mensaje de texto o un correo, los atacantes integran audio sintético, vídeo o elementos conversacionales en la cadena del ataque. Pueden imitar el ritmo exacto, el acento y las peculiaridades vocales de tu CEO o de tu director financiero. Estos ataques no intentan engañarte con una dirección de correo plagada de errores; en cambio, explotan tu confianza haciéndote creer que interactúas directamente con una figura de autoridad conocida, por voz o por vídeo.

Cómo se diferencia el BEC con deepfake de las amenazas tradicionales

La diferencia fundamental entre el BEC tradicional y el BEC con deepfakes moderno está en el medio del engaño. Las amenazas tradicionales se basan por completo en la manipulación de texto. Si recibes un correo de tu jefe pidiéndote que compres tarjetas regalo o que muevas fondos, tus alarmas internas pueden saltar si el tono te resulta un poco extraño. El BEC con deepfakes rompe esos mecanismos de detección tradicionales al introducir audio o vídeo realistas. Puede que atiendas una llamada telefónica que suena idéntica a la de tu responsable, o que te unas a una videoconferencia rápida en la que un avatar sintético asiente mientras habla con la voz de tu director. Este enfoque multicanal explota tu tendencia natural a confiar y a actuar con urgencia de una forma que los filtros de texto no pueden detectar en absoluto.

La tecnología deepfake ha cambiado las amenazas de BEC al permitir que los delincuentes suplanten a figuras de autoridad de forma mucho más convincente. Esto les facilita manipularte y eludir los filtros de seguridad tradicionales.

Esta tabla muestra las principales diferencias:

Los ataques BEC con deepfakes pueden manipularte con más eficacia gracias a la voz o al vídeo realistas. Explotan la urgencia y la autoridad, lo que los hace más peligrosos que el phishing tradicional. Los controles de seguridad internos a menudo no logran frenar estos ataques, lo que aumenta el riesgo para tu organización.

El papel de la IA en el BEC con deepfakes

La inteligencia artificial es el motor que impulsa estos fraudes complejos. Los actores de amenazas usan modelos de IA para extraer información de sitios web corporativos, perfiles de redes sociales y grabaciones de llamadas de resultados para reunir datos de entrenamiento sobre el personal clave. Clonan voces y estilos de escritura para que su primer contacto de phishing resulte auténtico. Una campaña típica de BEC con deepfakes sigue una progresión calculada:

1. Los atacantes recopilan detalles OSINT (inteligencia de fuentes abiertas) sobre tus directivos y la jerarquía de la organización.
2. Introducen muestras de audio y vídeo en modelos de IA para generar clones de voz convincentes o recursos de vídeo deepfake.
3. Se envían correos de phishing personalizados o mensajes de presentación a los objetivos, que a menudo superan todas las comprobaciones técnicas de autenticación.
4. Los atacantes intensifican la interacción pasando a llamadas telefónicas, mensajes de voz o reuniones por vídeo para reforzar la presión.
5. El objetivo final se alcanza cuando la víctima transfiere fondos o entrega credenciales bajo la ilusión de una aprobación ejecutiva.

Grandes entidades financieras y empresas han notificado incidentes preocupantes de fraude con clonación de voz que eludieron los controles de seguridad estándar. En un caso destacado, un empleado transfirió una cantidad importante de fondos tras interactuar con un flujo de audio deepfake. El BEC con deepfakes no es simplemente una evolución del phishing; es una categoría completamente nueva de fraude sintético.

SPF, DKIM y DMARC: cómo funcionan

Descripción general de SPF

Para entender por qué estos protocolos fallan frente a los deepfakes, primero debemos revisar qué hacen realmente. SPF, o Sender Policy Framework, verifica si el servidor de correo que transmite un mensaje tiene autorización explícita para enviar correos en nombre de un dominio concreto. Cuando un correo llega a tu pasarela, el sistema receptor consulta los registros DNS del dominio en busca de una entrada SPF. Si la dirección IP del servidor emisor coincide con la lista aprobada, el mensaje supera SPF. Aunque este mecanismo frena la suplantación básica, en la que los atacantes falsifican el dominio en el sobre, ignora por completo la dirección "De" visible para el usuario final, lo que deja mucho margen para la ingeniería social.

Descripción general de DKIM

DKIM, o DomainKeys Identified Mail, introduce la validación criptográfica en la ecuación. Adjunta una firma digital a los correos salientes, que el sistema de correo receptor verifica mediante una clave pública publicada en los registros DNS del dominio. Si la firma coincide, tienes una prueba criptográfica de que el contenido del mensaje no se ha alterado en tránsito. Aunque DKIM garantiza la integridad del mensaje, no puede decirte nada sobre la intención del remitente. Los atacantes aprovechan con frecuencia cuentas de correo legítimas comprometidas, que superan de forma natural las firmas DKIM, para lanzar campañas de phishing convincentes o preparar el terreno para una escalada con deepfakes.

Descripción general de DMARC

DMARC reúne SPF y DKIM bajo un marco de directivas unificado. Permite a los propietarios del dominio definir instrucciones para que los servidores de correo receptores sepan cómo tratar los mensajes que no superan las comprobaciones de SPF o DKIM, y además ofrece informes forenses muy útiles. DMARC protege el encabezado "From" visible y, por tanto, frena de forma eficaz la suplantación del dominio exacto. Aunque es un control básico imprescindible para cualquier organización, DMARC no analiza el contenido semántico ni la intención de un mensaje. Un atacante puede registrar fácilmente un dominio parecido, configurar registros SPF, DKIM y DMARC válidos para ese dominio fraudulento y, después, usar IA para crear estafas con deepfakes que atraviesan sin problemas tu pasarela protegida con DMARC.

Consejo: SPF, DKIM y DMARC funcionan mejor juntos. Detienen muchos correos de phishing, pero no pueden detectar amenazas de deepfake que usan audio o vídeo para engañarte.

Esta tabla resume las funciones principales de estos protocolos:

Debes usar estos protocolos como parte de tu defensa, pero mantente siempre alerta ante los ataques de deepfake y phishing que pueden eludir los controles técnicos.

Qué protegen estos protocolos

Es fundamental tener una visión clara de los límites de la autenticación del correo. SPF, DKIM y DMARC están diseñados exclusivamente para proteger tu infraestructura de mensajería frente a la suplantación de identidad en la capa de transporte. Garantizan que los mensajes que dicen proceder de tu dominio estén realmente vinculados a tus servidores de correo y que el texto no haya sido alterado durante el envío.

Veamos qué cubre cada protocolo:

• SPF comprueba que el correo proceda de un servidor autorizado, bloqueando a los remitentes no autorizados que intenten usar tu nombre de dominio.
• DKIM añade una firma digital que garantiza que el cuerpo del mensaje y los encabezados no han cambiado desde su envío.
• DMARC pone en práctica SPF y DKIM, define las políticas de cuarentena o rechazo para los mensajes que fallan y proporciona informes de visibilidad.

Esta tabla te ayuda a ver qué protege cada protocolo:

Y lo más importante: ninguno de estos protocolos evalúa el contenido cognitivo de un correo ni los canales de comunicación secundarios que un atacante podría utilizar. Si un correo supera todas las comprobaciones técnicas porque procede de una cuenta de proveedor comprometida, y a continuación llega una llamada telefónica con un deepfake, tus protocolos de autenticación del correo mostrarán un resultado perfecto mientras tu organización sufre una brecha de seguridad catastrófica.

Nota: SPF, DKIM y DMARC te ayudan a detener muchos correos de phishing, pero no te protegen de los ataques deepfake ni de los fraudes avanzados. Necesitas capas adicionales de seguridad para defenderte de estas amenazas modernas.

Debes mantenerte vigilante ante la evolución del phishing. Los protocolos de autenticación son una base necesaria, pero por sí solos son del todo insuficientes frente al fraude moderno.

Limitaciones frente a BEC con deepfakes

Autenticación del remitente frente a verificación del contenido

La vulnerabilidad principal de confiar únicamente en protocolos como DMARC es la enorme brecha entre la autenticación del remitente y la verificación del contenido. SPF, DKIM y DMARC verifican la alineación técnica, pero son completamente ciegos a la semántica maliciosa. Un atacante puede autenticar con éxito un correo desde un dominio parecido o recién registrado, cumpliendo todos los requisitos de DMARC, mientras que el cuerpo del mensaje contiene un gancho de ingeniería social cuidadosamente diseñado con inteligencia artificial.

Como estos protocolos operan exclusivamente en las capas de transporte y DNS, no pueden detectar cuándo se está utilizando la identidad de un directivo para engañar en el texto. Esta brecha permite a los ciberdelincuentes crear señuelos de phishing muy convincentes que eluden por completo los filtros de correo tradicionales. El protocolo verifica la infraestructura, pero no sabe nada de la persona que, supuestamente, está detrás del teclado.

Esta tabla muestra las principales limitaciones:

Entender estas restricciones deja claro por qué los equipos de seguridad no pueden permitirse la complacencia. La autenticación técnica garantiza la higiene de la entrega de correo, pero no hace nada para detener el fraude con deepfakes ni el compromiso de correo electrónico empresarial (BEC) procedente de orígenes autenticados.

Por qué tienen éxito los ataques BEC con deepfakes

Los ataques BEC con deepfakes tienen éxito porque explotan las vulnerabilidades psicológicas de las personas objetivo mientras esquivan con facilidad los obstáculos técnicos. Cuando un empleado recibe un correo que supera todas las comprobaciones de seguridad, acompañado de un mensaje de voz o un clip de vídeo que suena y se ve idéntico a su responsable, sus defensas cognitivas bajan. Además, las vulnerabilidades estructurales en el enrutamiento global del correo, como los exploits de contrabando SMTP que afectan a numerosos servicios de correo públicos y privados, han permitido históricamente a atacantes sofisticados eludir por completo las pasarelas de autenticación.

Veamos las métricas sobre la confianza de los directivos y de los responsables de seguridad:

• El 60 % de los líderes de ciberseguridad no confía en su capacidad para hacer frente a los ataques con deepfakes.
• El 38 % considera que la formación tradicional en concienciación es moderadamente eficaz o peor frente al audio deepfake.
• El 39 % considera que la formación es moderadamente eficaz o peor frente al vídeo deepfake.
• El 28 % cree que el phishing generado con IA todavía está en su fase inicial.
• El 25 % clasifica los ataques con audio deepfake como amenazas en fase temprana con un enorme margen de escalada.

Esta falta de confianza está bien fundada. Los atacantes combinan medios sintéticos multicanal con correos perfectamente autenticados, creando una receta de engaño que vence a las posturas de seguridad tradicionales.

Conceptos erróneos habituales sobre seguridad

Un mito persistente en la administración de TI es que alcanzar una directiva DMARC p=none proporciona una protección de seguridad tangible. En realidad, p=none es simplemente un estado de supervisión diseñado para recopilar datos de informes; no bloquea el correo no autenticado ni el suplantado. Las organizaciones deben avanzar a p=quarantine o p=reject para aplicar límites de protección.

Otro concepto erróneo habitual es que los dominios transaccionales o de uso exclusivamente interno no requieren una autenticación rigurosa. No proteger estos dominios deja flancos expuestos que los atacantes pueden aprovechar. Por último, muchos administradores suponen que implementar DMARC es excesivamente complejo, cuando las herramientas modernas de despliegue y las guías automatizadas han simplificado mucho el cumplimiento.

Esta tabla aclara los mitos más comunes:

Nota: Debes entender que los ataques BEC con deepfakes pueden eludir los protocolos tradicionales. Necesitas combinar los controles técnicos con la concienciación humana y herramientas avanzadas de detección. Los atacantes usan la tecnología deepfake para crear mensajes de phishing convincentes. Debes mantenerte alerta y actualizar tus prácticas de seguridad para defenderte del fraude moderno.

Métodos de ataque BEC con deepfakes

Escenarios reales

Los ataques con deepfake ya no son escenarios de ciencia ficción teóricos. En enero de 2024, la multinacional de ingeniería Arup fue víctima de un fraude con deepfake asombroso. Los atacantes usaron deepfakes de video y audio en tiempo real durante una videoconferencia para suplantar al director financiero de la empresa y a otros altos ejecutivos. Los avatares y las voces sintéticas resultaron tan convincentes que los empleados de finanzas transfirieron voluntariamente 25 millones de dólares en varias transacciones. Este caso histórico demostró que los actores de amenazas sofisticados están combinando de forma activa medios sintéticos multicanal para eludir por completo los flujos de verificación corporativos y las buenas prácticas de seguridad.

Técnicas de deepfake en BEC

Los defraudadores recurren en gran medida a la suplantación de la alta dirección porque las jerarquías organizativas inducen de forma natural al cumplimiento. Cuando un actor de amenazas clona con éxito la voz o la imagen de un CEO, un director de división o un director financiero, convierte la autoridad en un arma contra los empleados de nivel inferior que gestionan transacciones financieras sensibles. Estas técnicas provocan pérdidas económicas enormes de forma constante, porque anulan el escepticismo racional.

Las campañas de BEC con deepfake suelen combinar varias tácticas superpuestas:

• Clonación de voz sintética desplegada mediante llamadas telefónicas o mensajes de voz.
• Manipulación de video en tiempo real durante reuniones virtuales para simular la presencia de un ejecutivo.
• Redacción de correos asistida por IA que reproduce exactamente el estilo de comunicación y el vocabulario del ejecutivo objetivo.
• Ataques coordinados multicanal en los que un correo auténtico va respaldado de inmediato por una llamada deepfake.

Factores humanos en el BEC con deepfake

En última instancia, el BEC con deepfake apunta a la psicología humana y no al código técnico. Los atacantes se apoyan en gran medida en principios bien establecidos de ingeniería social para manipular a las víctimas y lograr que cumplan de inmediato.

Mantente alerta. El BEC con deepfake no es solo un problema técnico. Ataca tu confianza, tus hábitos y tu disposición a ayudar.

Defensa frente al BEC con deepfake

Formación de los empleados

Como el BEC con deepfake apunta a la percepción humana, la formación de los empleados sigue siendo una línea de defensa esencial. Sin embargo, la formación tradicional de concienciación centrada solo en detectar faltas de ortografía o encabezados de correo sospechosos ya no basta. Las organizaciones deben invertir en plataformas inmersivas de simulación de deepfakes que expongan al personal a escenarios de medios sintéticos en un entorno controlado. Al experimentar videollamadas deepfake simuladas o clones de voz de ejecutivos sintéticos durante la formación, los empleados desarrollan el automatismo necesario para pausar, reflexionar y verificar las solicitudes inusuales antes de actuar.

Detección avanzada de amenazas

La tecnología debe complementar la concienciación humana. Las arquitecturas de seguridad modernas incorporan sistemas avanzados de detección de amenazas basados en inteligencia artificial y aprendizaje automático. Estas herramientas analizan las líneas base de comportamiento en los distintos canales de comunicación para detectar anomalías que los filtros de correo estándar pasan por alto.

Verificación fuera de banda

Una de las contramedidas más sencillas y, a la vez, más eficaces frente al BEC con deepfake es cumplir estrictamente los protocolos de verificación fuera de banda. Siempre que un empleado reciba una solicitud urgente o de alto riesgo que implique transferencias bancarias, compartición de credenciales o anulación de directivas, independientemente de lo auténtico que parezca el correo, la voz o la videollamada, debe verificar la solicitud a través de un canal independiente y previamente establecido.

• La verificación fuera de banda consiste en confirmar las solicitudes inusuales mediante un segundo medio de comunicación independiente, como devolver la llamada a una extensión interna conocida de la empresa.
• Los usuarios deben validar las instrucciones sensibles a través de dos vías separadas y preaprobadas, para garantizar que un canal principal comprometido no comprometa todo el ciclo de verificación.

Mejoras en las directivas

Los controles técnicos y la formación deben respaldarse con directivas organizativas firmes. Revisa tu marco de gobernanza corporativa para asegurarte de que las acciones financieras y administrativas de alto riesgo requieran flujos de aprobación de varias personas y controles de acceso estrictos basados en roles. Establece procedimientos de notificación muy claros para que los empleados se sientan capacitados para señalar comunicaciones sospechosas sin temor a represalias.

Consejo: Las directivas claras te ayudan a detener los ataques de phishing y deepfake. Cuando todos conocen las reglas, reduces los errores y mantienes segura a tu organización.

Solución Microsoft Entra Verified ID

Cómo funciona Entra Verified ID

Para resolver de verdad la crisis de BEC con deepfakes, las organizaciones deben pasar de una confianza basada en el reconocimiento a una verificación criptográfica basada en pruebas. Microsoft Entra Verified ID ofrece una sólida solución de identidad descentralizada que permite a las organizaciones verificar criptográficamente tanto la identidad como la autoridad de las personas antes de conceder acceso o aprobar acciones de alto riesgo.

Entra Verified ID integra mecanismos de verificación visual, como la comprobación de documentos de identidad con fotografía emitidos por el gobierno y la detección de prueba de vida durante la incorporación, lo que garantiza que la persona que posee una credencial está físicamente presente y verificada. Al combinar la certificación del dispositivo, la biometría conductual y las credenciales verificables, eliminas las vulnerabilidades asociadas a confiar únicamente en una voz o un rostro conocidos.

Nota: Entra Verified ID no sustituye a tus controles actuales. Añade una capa sólida que se centra en la prueba, no solo en el reconocimiento.

Verificación de autoridad frente a verificación de identidad

La verificación de identidad confirma quién es una persona, mientras que la verificación de autoridad determina si esa persona tiene el mandato específico para ejecutar una transacción de alto riesgo. Entra Verified ID utiliza una arquitectura emisor-titular-verificador que da a las organizaciones un control preciso sobre la emisión y la revocación de credenciales.

Integración de Entra Verified ID con la seguridad existente

No necesitas descartar tus inversiones actuales en seguridad de Microsoft 365 para adoptar Entra Verified ID. Se integra sin problemas en tu estrategia de Zero Trust, funcionando junto con las directivas de acceso condicional, la protección de endpoints y la analítica avanzada de amenazas. Al exigir una credencial verificable para flujos de trabajo sensibles, como las transferencias económicas importantes o las anulaciones administrativas, neutralizas los intentos de BEC con deepfakes, porque un atacante no puede falsificar la autoridad criptográfica.

Consejo: Usa Entra Verified ID para confirmar tanto la identidad como la autoridad. Este paso te ayuda a detener los ataques de BEC con deepfakes y a mantener segura a tu organización.

No puedes confiar solo en SPF, DKIM y DMARC para detener los ataques de BEC con deepfakes. Estas herramientas no bloquean los dominios parecidos ni la suplantación impulsada por IA.

SPF, DKIM y DMARC no evitan los ataques con dominios parecidos, los ataques con dominios similares ni la suplantación mediante cuentas de correo web gratuitas. Estos protocolos dependen del juicio humano, que puede manipularse fácilmente con contenido generado por IA.
Necesitas una defensa en varias capas. Empieza por la formación de los empleados, la gestión de riesgos y las buenas prácticas. Añade soluciones avanzadas como Microsoft Entra Verified ID para la verificación de autoridad.

• En 2024, los ataques de BEC causaron pérdidas por 2.900 millones de dólares solo en Estados Unidos.
• El coste medio de una estafa BEC fue de 137.132 $ por incidente individual.
  Utiliza simulaciones de phishing, supervisión continua y formación periódica para medir tus defensas y mantener tu organización segura.

🎧 Escuchar este episodio

¿Quieres una explicación práctica de Stop Deepfake Business Email Compromise with Verified ID? Este episodio desglosa el tema en un lenguaje claro y explica por qué importa para Microsoft 365, Azure, Power Platform, seguridad, IA y el trabajo moderno.

Escucha este episodio si quieres:

• Comprender los conceptos clave detrás de Stop Deepfake Business Email Compromise with Verified ID
• Ver cómo encaja en el ecosistema tecnológico de Microsoft en general
• Descubrir dónde puede aportar valor práctico a tu organización

También te pueden interesar estos episodios relacionados de M365 FM:

• Service Principal Security: Stop Using Personal Accounts
• Detén la inyección de prompts en Microsoft Copilot con Azure Logic Apps
• Stop Outsourcing Human Judgment to Microsoft Copilot
• Detén la entropía de costes en Azure con controles de propiedad y presupuesto
• Cómo evitar que los agentes de IA eliminen correos importantes

Descubre más conversaciones prácticas sobre Microsoft en M365 FM.