El 69% de las empresas del Ibex 35 está adoptando medidas para protegerse del fraude por correo electrónico

Pese a que un 69% de las compañías del Ibex 35 está dando pasos para proteger mejor el correo electrónico, sobre todo si son empresas que prestan servicios directamente a clientes finales, todavía queda mucho por hacer. Esta es una de las conclusiones a las que llega el especialista en ciberseguridad Proofpoint, que ha realizado un análisis sobre las medidas que toman las grandes empresas del índice bursátil para detectar y evitar las técnicas de suplantación de dominio que se emplean en el phishing, los ataques de compromiso del correo correo corporativo (BEC, en su acrónimo inglés) y otras amenazas. Además, según explica la firma, el Ibex 35 podría presentar vulnerabilidades en sus relaciones con la cadena de suministro, uno de los vectores de ataque preferidos por los ciberdelincuentes en la actualidad.

Estos resultados se basan en su nivel de adopción de DMARC (Domain-based Message Authentication, Reporting and Conformance), un protocolo de validación de correo electrónico diseñado para proteger los nombres de dominio de un uso indebido por parte de ciberdelincuentes. Autentifica la identidad del remitente antes de permitir que un mensaje llegue a su destino, y cuenta con tres niveles de protección: monitorización, cuarentena y rechazo,, que el más seguro para evitar que los emails sospechosos aparezcan en la bandeja de entrada.

De acuerdo con los datos de esta investigación sobre la implantación del protocolo, estas organizaciones han aumentado su protección a nivel de dominio para sus canales de correo electrónico. De hecho, el 69% lo ha implementado en su nivel más básico, lo que significa que el 31% no toma ninguna medida para proteger a los usuarios de emails fraudulentos que suplanten su dominio. La fiabilidad de las comunicaciones por este canal, el más utilizado por los usuarios, es ahora mayor que hace apenas tres años, en 2020, cuando más del 54% de las compañías  estaba desprotegido ante posibles suplantaciones.

También concluye Proofpoint que sólo sólo 11 de las 35 aplican la política DMARC (31%)  más estricta y recomendada (“rechazar”, es decir, el mensaje no se entrega), lo que significa que un 69% no evita proactivamente que lleguen emails fraudulentos a los usuarios.

Por sectores, las empresas de banca, energía y turismo tienen una mayor adopción del protocolo DMARC contra suplantaciones de dominio o correo electrónico. Por el contrario, los sectores de infraestructuras, propiedades, salud y servicios presentan mayor riesgo de que sean utilizados para enviar mensajes fraudulentos. En general, las más orientadas al consumidor son las que priorizan la autenticación del correo: el 88% ha publicado registros DMARC, de los cuales un 53% en su nivel más estricto (“rechazar”).

En virtud de estos datos, Fernando Anaya, country manager de Proofpoint para España y Portugal, subraya “cualquier organización tiene que dar prioridad a la prevención de estafas con una estrategia de seguridad multicapa que incluya controles técnicos, desde configurar informes DMARC en sus registros DNS para dar visibilidad sobre quién envía emails en su nombre o usar herramientas para detectar dominios parecidos que puedan alertar de posibles fraudes, además de fomentar la educación en seguridad para garantizar que su gente pueda identificar un correo de phishing y denunciarlo fácilmente a todos los usuarios”.