Un correo falso de "Soporte de PayPal" puede pasar todas las verificaciones de seguridad en las que te dijeron confiar

Sí, un correo falsificado puede atravesar DMARC mientras la línea De muestra "PayPal Support" o "Chase Fraud Department." Los tres protocolos de letras que todos citan como prueba de que un correo es real — SPF, DKIM, DMARC — solo verifican el dominio remitente y la firma criptográfica. El nombre para mostrar, la parte legible por humanos en la que tu ojo se posa primero, nunca se verifica. El distintivo de confianza protege el campo que nadie mira.

¿Puede un correo falsificado realmente pasar DMARC con un nombre para mostrar falso?

Puede, y la razón está incorporada en el estándar. RFC 7489, la especificación de DMARC, es explícita en que solo se ocupa del dominio en el encabezado "RFC5322.From" — la parte después del símbolo @. No dice nada sobre el nombre para mostrar, la etiqueta de texto libre que viene antes de la dirección. Así que un atacante que controla un dominio ordinario como support-team-alerts.com, configura registros SPF y DKIM correctos, e envía desde billing@support-team-alerts.com obtendrá una verificación DMARC limpia. Solo establecen el nombre para mostrar en "PayPal Service." Autenticación técnicamente impecable. Presentación completamente deshonesta.

La mayoría de los clientes de correo entonces lo empeoran. Los teléfonos en particular muestran el nombre amigable y ocultan la dirección completamente hasta que la tocas. Ves "PayPal Service"; el support-team-alerts.com real se encuentra detrás de un chevron que nunca presionarás.

¿Qué está verificando realmente DMARC, entonces?

DMARC verifica que el dominio en el encabezado De se alinee con un dominio que el remitente está autorizado a usar — y nada más. SPF confirma que la IP del servidor remitente está en la lista aprobada del dominio. DKIM añade una firma criptográfica vinculada a un dominio. El trabajo de DMARC es "alineación": se asegura de que el dominio validado por SPF o DKIM coincida con el dominio De visible, para que no puedas pasar la autenticación en evil.com mientras afirmas ser paypal.com.

Eso es genuinamente útil. Es por eso que la suplantación total de dominio de marcas grandes se ha vuelto más difícil, y por eso Google y Yahoo comenzaron a requerir DMARC para remitentes masivos en febrero de 2024. Pero M3AAWG, el grupo industrial que escribe la guía de autenticación de remitentes, deja claro que estos protocolos autentican el dominio, no la intención o la redacción. El sobre puede ser real mientras el mensaje es una mentira.

¿Por qué el nombre para mostrar obtiene un pase libre?

Porque el correo electrónico se construyó antes de que alguien imaginara que movería dinero, y el nombre para mostrar se diseñó para ser amigable, no verificado. Es una etiqueta de cortesía. No hay registro de quién puede llamarse a sí mismo "Apple Billing," ninguna verificación contra marca registrada, nada. Puedes establecer el tuyo en el Papa. Los estándares de correo lo tratan como decoración, así que los pasos de autenticación simplemente lo saltan.

Así es también cómo funciona una categoría creciente de estafas: falsificación de nombre para mostrar emparejada con un dominio de apariencia legítima. El Centro de Quejas de Delitos por Internet del FBI registró más de $2.9 mil millones en pérdidas por compromiso de correo empresarial en 2023 — y BEC depende fuertemente de exactamente este truco, un nombre de confianza sobre una dirección que el objetivo nunca escudriña. Los protocolos todos pasaron. El dinero aún se fue.

¿Cómo realmente lees la línea De ahora?

Deja de leer el nombre y lee la dirección. En escritorio, pasa el cursor o haz clic para expandir el usuario@dominio completo y hazte una pregunta: ¿es este el dominio que usa la empresa real, letra por letra? PayPal envía desde paypal.com, no desde paypal-secure.net o service-paypal.com. En móvil, toca al remitente para revelar la dirección antes de tocar cualquier otra cosa.

Luego una segunda verificación: ¿se dirigiría esta organización a ti con un saludo genérico e impulsaría un enlace de inicio de sesión sobre una demanda que no esperabas? Esa es la parte que ningún encabezado verifica. Aquí también es donde el filtrado de IA gana su sueldo — herramientas como el flagging de estafas de xmail comparan el nombre para mostrar contra el dominio autenticado y exponen la discrepancia, en lugar de confiar en la etiqueta amigable de la manera en que lo hace tu ojo. Un pase DMARC te dice que el dominio es quien dice ser. Nunca te dijo que el nombre lo fuera.