Ver la cabecera del email para examinar posibles fraudes

Analizar la cabecera de un correo sospechoso

El nombre visible de un remitente puede falsificarse. La cabecera completa permite revisar por qué servidores pasó el mensaje y si superó SPF, DKIM y DMARC. No demuestra por sí sola que el contenido sea legítimo, pero aporta evidencia para investigar fraude, phishing y retrasos.

Si el mensaje solicita pago, cambio de cuenta bancaria, contraseña o urgencia, no respondas ni uses los teléfonos incluidos. Verifica por un canal conocido.

Cómo ver la cabecera

En Gmail web abre el mensaje, pulsa los tres puntos junto a Responder y selecciona Mostrar original. Google permite copiar la cabecera y analizarla con Admin Toolbox Messageheader.

En Outlook clásico abre el mensaje y ve a Archivo > Propiedades > Encabezados de Internet. En el nuevo Outlook, la opción puede aparecer como “Ver > Ver origen del mensaje” o en el menú de más acciones.

Guarda el mensaje original en formato EML o MSG si puede formar parte de una incidencia. Una captura no conserva todos los datos.

Campos principales

From: dirección visible. Puede falsificarse.
Reply-To: dirección que recibirá la respuesta; si difiere, requiere explicación.
Return-Path: destino de rebotes y dominio usado en SPF.
Message-ID: identificador generado por el sistema emisor.
Received: saltos entre servidores. Se leen desde abajo hacia arriba.
Authentication-Results: resultados SPF, DKIM y DMARC.
Date: fecha declarada por el remitente, no siempre fiable.

No concluyas fraude solo por una diferencia. Plataformas legítimas usan proveedores externos y subdominios.

Interpretar SPF, DKIM y DMARC

SPF comprueba si el servidor está autorizado para el dominio de retorno. DKIM valida una firma y que partes firmadas no cambiaron. DMARC exige alineación con el dominio visible y aplica la política publicada.

Busca pass, fail, softfail, neutral o none. Un DMARC pass mejora confianza técnica, pero una cuenta legítima comprometida también puede enviar fraude. Un fail puede deberse a reenvío o mala configuración.

Rastrear los Received

Cada servidor añade normalmente una línea arriba. El salto inferior se acerca al origen, aunque un atacante puede inventar campos dentro del mensaje; confía más en las líneas añadidas por tu proveedor.

Compara fechas y zonas horarias para detectar retrasos. La IP se puede consultar en fuentes reputacionales, pero no atribuyas una persona basándote solo en geolocalización.

Señales de phishing

• Dominio parecido con una letra distinta.
• Reply-To ajeno al remitente.
• Enlaces cuyo destino no coincide.
• Adjuntos inesperados.
• Petición de desactivar seguridad.
• Urgencia y secreto.
• Cambio de IBAN.
• Fallo DMARC o DKIM.
• Mensaje fuera del patrón habitual.

Pasa el ratón sobre enlaces sin abrirlos. No subas correos con datos sensibles a analizadores públicos.

Qué hacer en una empresa

Reporta el mensaje con el mecanismo del proveedor. Conserva original, hora, usuario y acción realizada. Si alguien abrió enlace o introdujo credenciales, cambia la contraseña desde un dispositivo limpio, revoca sesiones, revisa MFA, reglas, delegaciones y reenvíos.

Si hubo pago o datos personales, activa el procedimiento de incidente. La cabecera debe adjuntarse al ticket técnico, no copiarse en chats abiertos.

Analizadores automáticos

Google Admin Toolbox ayuda a visualizar saltos. Microsoft 365 dispone de seguimiento de mensajes y exploradores según licencia. Son apoyo, no sustituyen la revisión contextual.

Para correo propio, configura SPF, DKIM y DMARC y revisa informes. La mejor defensa combina autenticación, filtrado, MFA y formación.

Ejemplo de decisión

Un mensaje con DKIM pass del dominio real, enviado desde la infraestructura esperada, todavía puede ser sospechoso si pide un pago inusual. Verifica con la persona por teléfono conocido. Si el dominio es parecido y DMARC falla, bloquea y reporta.

Diccionario rápido

Cabecera: metadatos técnicos del mensaje.
Received: recorrido entre servidores.
Message-ID: identificador del mensaje.
SPF/DKIM/DMARC: controles de autenticación.
Phishing: engaño para robar acceso o dinero.

Consulta la guía oficial de Gmail. Informatix puede analizar la evidencia y asegurar la cuenta si existe compromiso.