¿Qué señales aporta la seguridad del correo?
Una pasarela de correo o la protección nativa de Microsoft 365 y Google Workspace generan datos que sirven para algo más que filtrar. Al conectarlos, el SOC recibe:
- Veredictos de phishing, malware, spam y suplantación, con el motivo de la clasificación.
- Metadatos del mensaje: remitente, dominio de envío, resultado de SPF, DKIM y DMARC, IP de origen y destinatarios.
- Clics en enlaces reescritos: quién hizo clic, cuándo y si la URL estaba bloqueada en ese momento.
- Mensajes que los usuarios reportan como sospechosos.
- Reclasificaciones posteriores a la entrega: mensajes que horas después pasan a cuarentena.
- Actividad del buzón, cuando la integración la incluye: reglas de reenvío, accesos delegados y envíos masivos desde una cuenta interna.
¿Qué ataques por correo se detectan mejor al combinar fuentes?
Un phishing con un adjunto conocido lo bloquea casi cualquier filtro. Los casos difíciles son otros:
- Fraude BEC y del CEO: un texto plausible que pide un pago urgente o un cambio de cuenta bancaria, sin enlace ni adjunto que analizar. Ayuda cruzar datos: dominio parecido registrado hace pocos días, primera vez que ese remitente escribe a finanzas o respuesta dirigida a otra dirección.
- Proveedor comprometido: el correo sale de un dominio legítimo, pasa SPF y DKIM y continúa una conversación real. La pista está en el cambio de datos bancarios o en una IP de envío inusual.
- Enlaces que se activan después: la URL es inofensiva al entregarse y horas después redirige a una página de robo de credenciales.
- Robo de credenciales seguido de acceso: un usuario introduce su contraseña en una página falsa y poco después hay un inicio de sesión desde otro país y una regla que oculta respuestas. Solo se ve completo si correo e identidad están conectados.
El impacto económico explica la prioridad. Según el informe anual de 2025 del IC3 del FBI, ese año el organismo recibió 24.768 denuncias por BEC con pérdidas declaradas de más de 3.000 millones de dólares, la segunda categoría con más pérdidas del informe, solo por detrás del fraude de inversión.
¿Qué se puede hacer cuando el correo malicioso ya está en los buzones?
La respuesta en correo tiene una particularidad: el mismo mensaje suele haber llegado a decenas de personas. Estas son las acciones habituales, según la herramienta:
| Acción | Qué consigue | Ejemplos según la herramienta |
|---|---|---|
| Retirar el mensaje de todos los buzones | Que nadie más lo abra, aunque ya se haya entregado o leído. | Remediación en Microsoft Defender for Office 365, retirada automática en Proofpoint, remediación en Mimecast, herramienta de investigación de seguridad en las ediciones de Google Workspace que la incluyen. |
| Bloquear remitente, dominio o URL | Cortar nuevos envíos de la misma campaña. | Lista de permitidos y bloqueados del inquilino en Microsoft 365, políticas de la pasarela (Proofpoint, Mimecast, FortiMail), remitentes bloqueados en la consola de administración de Google Workspace. |
| Identificar quién interactuó | Priorizar a quien hizo clic o abrió el adjunto. | Registros de clics en enlaces reescritos e informes de entrega. |
| Escalar a identidad y endpoint | Contener si alguien introdujo credenciales o ejecutó el adjunto. | Revocar sesiones y forzar el cambio de contraseña; aislar el equipo desde el EDR. |
La purga automática del proveedor no siempre basta. En Microsoft 365, la purga automática de hora cero (ZAP) solo busca en el correo entregado en las últimas 48 horas y su efecto depende de las acciones configuradas en las directivas, según la documentación de Microsoft. Una campaña identificada tres días después requiere una retirada lanzada desde el SOC.
¿En qué se diferencia de las integraciones de identidad y endpoint?
El correo ve el intento: quién envió qué y a quién. La identidad ve si el intento funcionó, con un inicio de sesión que usa la contraseña robada, y el endpoint ve si se ejecutó algo en el equipo. Si solo conectas el correo, sabrás que llegó un phishing pero no si alguien cayó. Por eso estas tres integraciones suelen activarse juntas.
¿Qué conviene revisar en tu correo?
- Un buzón o botón de notificación de phishing que llegue al SOC, no solo al equipo de IT.
- DMARC publicado para tus dominios, al menos en modo de monitorización (p=none), para saber quién envía en tu nombre.
- Un procedimiento de verificación por otro canal para cualquier cambio de cuenta bancaria, que frena el BEC mejor que cualquier filtro.
Cómo te ayuda Ciberia
Ciberia MDR se integra con tu plataforma de correo o tu pasarela de seguridad y correlaciona sus señales con identidad, endpoint y red, enriquecidas con indicadores de Ciberia Intel. Cuando un correo se confirma como malicioso, sus agentes de IA proponen la respuesta, un analista valida las acciones con impacto y la contención se orquesta según la herramienta: retirar el mensaje de los buzones afectados, bloquear el remitente y revisar quién interactuó. La vigilancia es 24/7 y cada acción queda trazada: quién, cuándo, con qué criterio y sobre qué dato.
