Saltar al contenido
Life Security

Buscar en el sitio

Encuentra páginas y secciones.

Seguridad en el correo electrónico

Última actualización:

El correo electrónico es el componente más antiguo de la internet moderna de la que la mayoría de la gente sigue dependiendo, y fue diseñado en una época en la que la privacidad no era una preocupación. También es la llave de casi todo lo demás que posees en línea, ya que otros servicios envían allí sus enlaces de restablecimiento de contraseña. Esta combinación convierte la seguridad del correo electrónico en dos problemas diferentes: mantener la privacidad de los mensajes y mantener la cuenta en sí a salvo.

Esta página explica quién puede leer tu correo electrónico, por qué es tan fácil falsificar la dirección del remitente, qué puede y qué no puede hacer el cifrado, y cómo se apoderan los atacantes de las cuentas de correo. No recomienda proveedores de correo específicos; esas selecciones pertenecen a una página con criterios evaluables.

Qué es el correo electrónico, en términos sencillos

Cuando envías un mensaje, tu programa de correo se lo entrega al servidor de tu proveedor. Ese servidor lo transmite al servidor del proveedor del destinatario, y el programa de este último lo recupera. Cada etapa es una computadora administrada por alguien, y en principio cada una puede ver y almacenar el mensaje. El sistema se construyó para que cualquier proveedor pudiera realizar entregas a cualquier otro, sin necesidad de una autoridad central.

Ese diseño explica la mayoría de las debilidades del correo electrónico. Los mensajes viajan a través de intermediarios que tú no elegiste. La dirección mostrada en la línea “De” es simplemente un texto que escribió el remitente. Además, la información necesaria para entregar un mensaje, como quién lo envió y quién lo recibe, debe ser legible para los servidores.

Quién puede leer tu correo electrónico

Hay tres lugares en los que un mensaje puede quedar expuesto:

En tránsito: El correo que se desplaza entre servidores se puede proteger mediante la seguridad de la capa de transporte (TLS), la misma tecnología que está detrás del candado en los sitios web. Solo funciona cuando ambos proveedores la admiten. El informe de transparencia de Google muestra actualmente que el 98% del tráfico saliente y el 99% del entrante en Gmail están cifrados. Esto representa un cambio sustancial respecto a 2014, cuando Google informó que entre el 40% y el 50% del correo entre Gmail y otros proveedores no estaba cifrado, y menos del 1% del correo enviado a Comcast.net lo estaba. TLS protege el mensaje entre servidores, no en los extremos.

En reposo: Tu proveedor almacena tu correo, por lo general en un formato que puede leer, y lo mismo hace el proveedor del destinatario. TLS no hace nada al respecto. Además, los proveedores a veces recurren a servicios de terceros para filtrar el spam. Esta es la misma lógica aplicable a cualquier cuenta que mantengas con una empresa, y en por qué importa la privacidad se explica por qué el poseedor de la información tiene poder sobre ella.

En tus dispositivos y en tu cuenta: Cualquiera que acceda a tu cuenta o a tu teléfono desbloqueado puede leer tu correo. Esta es la vía más común en la práctica, tal como se explica más adelante en la sección sobre el apoderamiento de cuentas.

Cifrado de extremo a extremo para el correo electrónico y sus límites

El cifrado de extremo a extremo significa que solo tú y el destinatario pueden leer el mensaje, ni siquiera los proveedores. Para el correo electrónico, proviene de estándares adicionales, principalmente OpenPGP y S/MIME. Ambos requieren que el destinatario tenga una clave, y ambos necesitan un software y una configuración que la mayoría de las personas no utilizan.

Vale la pena conocer tres de sus limitaciones:

  • Los metadatos permanecen visibles: El remitente, el destinatario, la fecha y, típicamente, el asunto deben permanecer legibles para que los servidores puedan entregar el mensaje. Cifrar el cuerpo del mensaje no oculta quién envió un correo a quién ni cuándo. Así es como funcionan los estándares, aunque no hemos encontrado una sola página autorizada que enumere cada encabezado, por lo que se debe tomar los detalles como algo general.
  • Fallos de software: En 2018, investigadores europeos revelaron EFAIL, un conjunto de ataques contra OpenPGP y S/MIME. Un atacante que tuviera un mensaje cifrado podía alterarlo de tal manera que un programa de correo vulnerable, al descifrarlo y cargar contenido externo (como imágenes en un correo HTML), enviara el texto plano al servidor del atacante. A esto le siguieron correcciones y consejos: actualizar el software de correo y desactivar el procesamiento de HTML y el contenido remoto, algo que recomendó Sophos. Algunos analistas argumentaron que el fallo residía en implementaciones específicas y no en el propio OpenPGP.
  • Fricción: Un mensaje solo está protegido si la otra persona también utiliza cifrado, y mantener a salvo las claves privadas es tu responsabilidad. Para conversaciones privadas individuales, la mayoría de las personas están mejor servidas por una aplicación de mensajería con cifrado de extremo a extremo que por el correo electrónico cifrado. Para una necesidad específica, como una fuente periodística, un abogado o un periodista, el correo cifrado puede tener sentido, y es el modelo de amenazas el que lo decide.

Por qué funciona la suplantación de remitentes y qué la detiene

La dirección “De” de un mensaje es simplemente un campo de texto. Sin comprobaciones, cualquiera puede escribir la dirección de tu banco en él. Tres estándares ayudan a los servidores receptores a decidir si un mensaje proviene realmente del dominio que afirma ser:

  • Sender Policy Framework (SPF): Enumera los servidores autorizados a enviar correos en nombre de un dominio.
  • DomainKeys Identified Mail (DKIM): Añade una firma digital que el receptor puede verificar.
  • Domain-based Message Authentication, Reporting and Conformance (DMARC): Se basa en ambos y dice a los receptores qué hacer con el correo que no supere las verificaciones.

Estos estándares te benefician a ti aunque sean los propietarios de los dominios quienes los configuren. En febrero de 2024, Google y Yahoo comenzaron a exigir a los remitentes de correo masivo a direcciones de Gmail y Yahoo que usen SPF y DKIM, y a los remitentes de más de 5.000 mensajes al día que utilicen DMARC. Esto redujo el volumen de correo falsificado dirigido a sus usuarios. No obstante, no hace que todos los mensajes sean seguros. Los atacantes utilizan dominios similares (look-alike) que superan todas las comprobaciones, y estas no dicen nada sobre si un remitente es honesto.

El phishing sigue siendo la forma principal en que se utiliza el correo electrónico contra las personas. El Centro de Denuncias de Delitos en Internet del FBI (IC3) registró 191.561 denuncias de phishing y suplantación de identidad en 2025, la cifra más alta entre todos los tipos de delitos, y el compromiso del correo electrónico empresarial (BEC), en el que los delincuentes se hacen pasar por una parte de confianza para redirigir pagos, causó unos 3.000 millones de dólares en pérdidas reportadas. Esas son cifras de EE. UU. basadas en denuncias que las personas decidieron presentar. En amenazas comunes se aborda el phishing con más detalle.

Dos hábitos resultan de gran ayuda: verifica el dominio de envío real, no solo el nombre mostrado; y trata como sospechoso cualquier mensaje que te presione a actuar rápidamente respecto a dinero o inicios de sesión, confirmando siempre por otra vía. El FBI también aconseja señalar los mensajes en los que la dirección de respuesta difiera de la dirección del remitente, una señal habitual de fraude.

Rastreo dentro de los mensajes

Muchos correos electrónicos comerciales contienen un píxel de seguimiento, una imagen diminuta e invisible. Cuando tu programa de correo la carga, el servidor del remitente se entera de que abriste el mensaje, a qué hora, en qué tipo de dispositivo y aproximadamente dónde te encuentras a través de tu dirección IP. Proton, que vende correo enfocado en la privacidad y tiene interés en estas cifras, afirma que casi la mitad de todos los correos contienen algún tipo de rastreador. Un estudio independiente de Princeton, citado por otros análisis, descubrió que el 70% de los correos de listas de correo los incluían.

Puedes limitar esto. La protección de la privacidad de Mail de Apple carga las imágenes remotas a través de los servidores de Apple con antelación, para que los remitentes no vean tu dirección IP real ni si realmente leíste el mensaje. Muchos programas de correo te permiten bloquear las imágenes remotas hasta que tú decidas cargarlas. El inconveniente es que algunos correos se ven desordenados hasta que cargas las imágenes.

Tu cuenta de correo es la llave maestra

Si un atacante controla tu correo electrónico, puede restablecer la contraseña de tu banco, tus cuentas de compras y tus redes sociales. Proteger la cuenta es más importante que proteger cualquier mensaje individual.

Los atacantes entran por los caminos habituales: una contraseña reutilizada de otra filtración, una página de phishing o una sesión robada. Una vez dentro, un movimiento común es crear reglas en la bandeja de entrada. En 2021, el FBI advirtió que los delincuentes estaban configurando reglas de reenvío automático en el correo web de las víctimas —a menudo invisibles en el programa de escritorio— para copiarse los mensajes a sí mismos y ocultar su actividad. Las reglas también pueden mover o eliminar alertas de seguridad para que no las veas. Debido a que una regla puede continuar reenviando copias, el simple hecho de restablecer la contraseña puede no poner fin a la exposición.

Entre las señales de un apoderamiento de cuenta se incluyen reglas, filtros o direcciones de reenvío que no creaste, mensajes enviados que no recuerdas y correos de restablecimiento de contraseña que no solicitaste. Si sospechas de una intrusión, los consejos gubernamentales sobre ciberseguridad recomiendan cambiar la contraseña, eliminar las reglas y reenvíos no reconocidos, avisar a tus contactos de que no confíen en los mensajes recientes que parezcan provenir de ti y activar la autenticación multifactor. Si no puedes acceder, utiliza rápidamente el proceso de recuperación de cuentas del proveedor.

Hay dos protecciones fundamentales: una contraseña larga y única, un asunto que aborda la introducción a las contraseñas, y un segundo paso de inicio de sesión, cubierto en autenticación multifactor. Un detalle adicional tomado de guías relacionadas con el FBI: los protocolos de correo más antiguos, como POP e IMAP, pueden permitir a los atacantes eludir la autenticación multifactor en algunas cuentas, por lo que se recomienda desactivar cualquier acceso antiguo que no utilices.

Para qué es bueno el correo electrónico

Trata el correo electrónico como una postal que también funciona como llave maestra. Es adecuado para avisos, recibos y restablecimientos de contraseña, así como para comunicarse con personas que no están en ningún otro canal. Para las conversaciones que desees mantener privadas, una aplicación de mensajería con cifrado de extremo a extremo suele ser la mejor herramienta. En creación de cuentas se explica cómo los alias de correo pueden mantener tu dirección principal al margen de cada registro.

Por dónde empezar

Estos pasos van de los más a los menos indispensables:

  1. Asigna a tu cuenta de correo electrónico una contraseña larga y única, y activa un segundo paso de inicio de sesión. Una llave de seguridad o una aplicación de autenticación ofrece mayor protección que los códigos por mensaje de texto.
  2. Revisa la configuración de tu cuenta en busca de direcciones de reenvío, reglas de la bandeja de entrada y aplicaciones conectadas que no reconozcas, y elimínalas.
  3. Sé escéptico ante mensajes urgentes sobre dinero, inicios de sesión o entregas. Confirma la información utilizando un número de teléfono o un sitio web que hayas buscado por tu cuenta.
  4. Bloquea las imágenes remotas o activa la protección contra el rastreo de tu programa de correo.
  5. Utiliza el correo cifrado solo si tienes una necesidad específica, y usa una dirección separada para las cuentas que no te puedas permitir perder.

El nivel de precaución que necesitas depende de lo que proteja la cuenta, algo que el modelado de amenazas te ayuda a evaluar.

Fuentes

Páginas relacionadas

Preguntas frecuentes