Ni Administración ni empresas españolas se han armado bien contra la suplantación de identidad por email

Las amenazas online no cesan en tiempo de coronavirus. Los ciberdelincuentes están haciendo un uso fraudulento de los dominios de correo electrónico de fuentes oficiales para enviar mensajes y engañar a los internautas.

Proofpoint ha detectado hasta ahora más de 200 estafas relacionadas con la COVID-19, lo que se traduce en más de 500 000 mensajes, 300 000 enlaces y 200 000 archivos adjuntos maliciosos circulando alrededor del planeta. Esto incluye también a España.

Aquí ni la Administración ni las empresas han alcanzado un nivel de adopción de los sistemas de autenticación lo suficientemente maduro como para garantizar la fiabilidad de las comunicaciones por correo. El protocolo DMARC (autenticación de mensajes, informes y conformidad basada en dominios) puede frenar las suplantaciones de identidad por email, pero no está ampliamente extendido.

Proopoint revela que la mayoría de los Ministerios que componen el Ejecutivo español adolecen de una “muy limitada adopción de DMARC para proteger el servicio de correo electrónico”, que “se hace además en modo básico, monitorizando los posibles casos y no ejecutando ninguna medida adicional”.

Lo mismo ocurriría en las Comunidades Autónomas. Según Proofpoint, solo en 8 de las 17 regiones que componen el país se ha activado el sistema DMARC en los servidores de correo. Y de todos modos la protección frente a suplantaciones sería insuficiente porque buena parte de los despliegues de DMARC no cuenta con un modo estricto de bloqueo, sino de notificación o cuarentena.

¿Y las empresas? Únicamente 6 de las 35 compañías que conforman el IBEX 35 han implementado DMARC en sus dominios en modo bloqueo o cuarentena. Esto quiere decir que el 83 % de las organizaciones más destacadas del país están expuestas al fraude por correo electrónico y la suplantación de identidad.

“Ahora más que nunca tiene una importancia crítica que la ciudadanía pueda confiar en la veracidad de las comunicaciones electrónicas por parte de grandes empresas e instituciones públicas”, señala Fernando Anaya, responsable de desarrollo de negocio de Proofpoint para España y Portugal, “y que estas protejan a todos aquellos usuarios que recurren a sus páginas en internet para informarse debidamente de la situación o iniciar algún tipo de solicitud online. Los atacantes saben que los usuarios están accediendo a estos dominios y pueden aprovecharse de su credibilidad como fuentes oficiales para lanzar sus amenazas”.

“Por ello”, concluye Anaya, “DMARC supone la herramienta idónea para proteger el email como canal de comunicación de cualquier organización en estos momentos”.