Seguridad del correo electrónico en ayuntamientos: DMARC, SPF, DKIM y protección contra phishing

La seguridad del correo electrónico en ayuntamientos es una de las áreas con mayor impacto sobre la ciberseguridad cotidiana. El correo conecta a empleados, proveedores, ciudadanía y otras Administraciones y, precisamente por eso, es una vía habitual para phishing, robo de credenciales, malware, fraude por suplantación y ataques dirigidos.

Protegerlo requiere algo más que un filtro antispam. El ayuntamiento necesita autenticar sus dominios, controlar quién puede enviar en su nombre, proteger las cuentas con MFA, detectar mensajes sospechosos, formar a los usuarios y disponer de un procedimiento rápido cuando una campaña consigue atravesar las defensas.

La estrategia debe alinearse con el Esquema Nacional de Seguridad, con las recomendaciones del CCN-CERT y con la adecuación ENS del ayuntamiento. También conviene integrarla con un servicio de ciberseguridad gestionada, SOC y SIEM para que las alertas de correo no queden aisladas.

Por qué el correo sigue siendo un objetivo prioritario

Los mensajes forman parte del trabajo diario y obligan a tomar decisiones rápidas. Un atacante puede aprovechar esa rutina para simular una factura, un aviso de contraseña, una comunicación de proveedor o una petición urgente.

El problema no es únicamente que alguien pulse un enlace. Un correo comprometido puede utilizarse para leer conversaciones, modificar datos bancarios, enviar mensajes desde una cuenta legítima o preparar ataques más creíbles.

Por eso la seguridad debe combinar tecnología, identidad y procesos.

Inventario de dominios

Antes de configurar SPF, DKIM o DMARC hay que conocer todos los dominios y subdominios utilizados por la entidad.

Una auditoría tecnológica municipal puede detectar dominios antiguos, plataformas externas y servicios que envían correo en nombre del ayuntamiento.

Los dominios que ya no envían también deben protegerse para evitar suplantaciones.

Inventario de remitentes autorizados

No solo envía correo Microsoft 365, Google Workspace o el servidor principal. Puede haber aplicaciones de nóminas, sede, formularios, newsletters, facturación, sistemas de tickets o proveedores externos.

Todos estos remitentes deben identificarse antes de endurecer políticas.

Si se omite un servicio legítimo, una configuración estricta puede bloquear comunicaciones válidas.

Qué es SPF

SPF permite indicar qué servidores están autorizados para enviar correo en nombre de un dominio.

La política se publica en DNS y ayuda a los receptores a comprobar si el origen del mensaje está autorizado.

Debe mantenerse actualizada cuando se incorporan o retiran proveedores de correo.

Errores habituales en SPF

Uno de los errores más frecuentes es acumular servicios antiguos o crear registros demasiado permisivos.

También puede superarse el límite técnico de consultas DNS si se añaden demasiados proveedores mediante includes.

El proyecto debe documentar cada origen y eliminar dependencias que ya no sean necesarias.

Qué es DKIM

DKIM añade una firma criptográfica al mensaje para que el receptor pueda comprobar que procede de un dominio autorizado y que determinadas partes no han sido modificadas.

La clave pública se publica en DNS y la privada permanece en el servicio emisor.

Las claves deben rotarse cuando la plataforma lo permita y protegerse adecuadamente.

Qué es DMARC

DMARC combina información de SPF y DKIM con reglas de alineamiento y permite indicar qué debe hacerse cuando un mensaje no supera las comprobaciones.

También proporciona informes que ayudan a descubrir quién está enviando correo utilizando el dominio.

Es una herramienta fundamental para reducir la suplantación directa de direcciones institucionales.

Empezar DMARC en modo de monitorización

Aplicar una política de rechazo sin conocer todos los remitentes puede bloquear mensajes legítimos.

Por eso suele ser útil comenzar recopilando informes, identificar fuentes, corregir configuraciones y aumentar la política progresivamente.

El contrato debe incluir esta fase de análisis y no limitarse a crear un registro DNS.

Pasar a cuarentena y rechazo

Una vez que los remitentes válidos están correctamente autenticados, la entidad puede endurecer la política.

El objetivo es que los receptores traten como sospechosos o rechacen mensajes que intenten utilizar el dominio sin autorización.

El cambio debe monitorizarse para detectar falsos positivos y proveedores olvidados.

Informes DMARC

Los informes agregados muestran qué infraestructuras envían correo y cómo superan SPF y DKIM.

El proveedor puede convertir estos datos en un cuadro de mando comprensible y alertar de nuevas fuentes.

No deberían acumularse archivos XML sin análisis. Su valor está en detectar desviaciones y mantener la configuración actualizada.

Dominios que no envían correo

Un dominio utilizado únicamente para una web también puede ser suplantado.

Conviene publicar políticas que indiquen claramente que no existe envío legítimo cuando proceda.

Esto reduce la capacidad de un atacante para aprovechar dominios secundarios de la entidad.

Dominios similares y typosquatting

Los atacantes pueden registrar nombres visualmente parecidos al dominio municipal.

La monitorización puede detectar dominios nuevos que imitan marcas, servicios o nombres institucionales.

El procedimiento debe definir qué hacer cuando se identifica una campaña activa o una web fraudulenta.

Phishing de credenciales

Una campaña puede dirigir al usuario a una página que imita el proveedor de correo o una aplicación municipal.

La autenticación multifactor y gestión de identidades reduce el impacto de contraseñas robadas, especialmente cuando se utilizan métodos resistentes al phishing.

El SOC debe vigilar inicios de sesión anómalos después de un mensaje sospechoso.

Business Email Compromise

En ataques BEC, el delincuente puede utilizar una cuenta comprometida o una identidad falsa para solicitar transferencias, cambios de cuenta o información sensible.

Los procesos económicos deben incluir verificaciones adicionales para cambios de datos bancarios o instrucciones excepcionales.

No conviene confiar únicamente en que el mensaje procede de una conversación existente.

Suplantación de proveedores

Los ayuntamientos trabajan con múltiples adjudicatarios y proveedores. Un atacante puede copiar firmas, facturas y estilos de comunicación.

Las áreas económicas y de contratación necesitan procedimientos claros para validar cambios sensibles.

La categoría de contratación pública puede relacionarse con estos controles cuando el correo forma parte de la gestión de proveedores.

Adjuntos maliciosos

Documentos, archivos comprimidos y otros adjuntos pueden contener malware o enlaces.

La plataforma de seguridad puede analizar contenido, bloquear extensiones de riesgo y utilizar entornos aislados para determinados archivos.

Las reglas deben adaptarse a necesidades reales para no impedir el intercambio legítimo de documentación.

Enlaces maliciosos

Algunas soluciones reescriben o analizan URLs en el momento del clic.

Esto puede detectar páginas que eran legítimas cuando llegó el correo y se volvieron maliciosas después.

El usuario debe disponer además de un mecanismo sencillo para reportar mensajes sospechosos.

Protección frente a malware

El correo debe integrarse con antivirus, sandboxing, EDR y monitorización cuando la arquitectura lo permita.

Si un adjunto se ejecuta en un equipo, el servicio de SOC municipal debería poder correlacionar el evento con el mensaje original.

Esta trazabilidad acelera la investigación y permite localizar otros destinatarios.

Cuenta comprometida

Cuando se confirma el compromiso, el procedimiento puede incluir revocar sesiones, cambiar credenciales, revisar MFA, analizar reglas de buzón y comprobar mensajes enviados.

También debe revisarse si se crearon reenvíos automáticos o aplicaciones con permisos persistentes.

La respuesta debe preservar evidencia suficiente para investigar el alcance.

Reglas de reenvío

Los atacantes pueden crear reglas que oculten mensajes o reenvíen conversaciones al exterior.

La plataforma debe monitorizar reglas anómalas y limitar reenvíos externos cuando la política municipal lo requiera.

Estas acciones son especialmente relevantes después de detectar credenciales comprometidas.

Aplicaciones OAuth

En entornos cloud, un usuario puede conceder permisos a aplicaciones externas.

Una aplicación maliciosa puede mantener acceso incluso después de cambiar la contraseña.

La gestión de identidad debe controlar consentimientos, permisos y aplicaciones autorizadas.

MFA para correo

El correo suele ser una de las primeras plataformas donde desplegar MFA porque una cuenta comprometida puede servir para restablecer contraseñas de otros servicios.

La política debe contemplar usuarios, administradores, proveedores y accesos heredados.

Los protocolos antiguos que no soportan controles modernos deberían revisarse y deshabilitarse cuando sea viable.

Acceso condicional

Las políticas pueden evaluar dispositivo, ubicación, riesgo de inicio de sesión y otros factores.

No deben diseñarse únicamente para bloquear, sino para pedir controles adicionales cuando el contexto lo requiera.

Las excepciones necesitan propietario y fecha de revisión.

Seguridad del correo móvil

Los usuarios consultan mensajes desde teléfonos y tabletas, donde puede ser más difícil inspeccionar direcciones y enlaces.

La gestión de dispositivos, aplicaciones corporativas y MFA ayuda a reducir el riesgo.

La formación debe incluir ejemplos adaptados al uso móvil.

Buzones compartidos

Los buzones de registro, contratación, intervención o atención ciudadana pueden ser utilizados por varias personas.

Debe evitarse compartir una contraseña. Es preferible conceder permisos nominales desde identidades individuales.

Los accesos y cambios de permisos deben quedar registrados.

Cuentas de servicio

Aplicaciones y dispositivos pueden utilizar cuentas para enviar notificaciones.

Estas identidades técnicas deben inventariarse, protegerse y limitarse al uso necesario.

La integración de sistemas municipales debe evitar credenciales personales incrustadas en conectores.

Correo de aplicaciones a medida

Las aplicaciones propias que envían mensajes deben autenticarse correctamente y utilizar dominios o subdominios documentados.

La guía sobre software a medida para Administraciones Públicas explica la necesidad de gestionar secretos, integraciones y mantenimiento.

Los cambios de proveedor de email deben actualizarse en SPF, DKIM y DMARC.

Monitorización de reputación

Una mala configuración o una cuenta comprometida puede afectar a la reputación del dominio y provocar que mensajes legítimos terminen en spam.

El servicio debería detectar tasas anómalas de envío, bloqueos y problemas de autenticación.

La respuesta debe incluir diagnóstico y acciones correctivas.

Reportar phishing

Los empleados necesitan un canal sencillo para reportar un mensaje sin reenviarlo de forma insegura.

Puede incorporarse un botón específico en el cliente de correo.

El SOC debe recibir información suficiente para analizar remitente, cabeceras, enlaces y destinatarios.

Respuesta masiva a una campaña

Cuando un mensaje malicioso llega a varias cuentas, el equipo debe poder buscarlo y retirarlo de los buzones cuando la plataforma lo permita.

También conviene bloquear dominios, URLs, adjuntos o indicadores relacionados.

La rapidez reduce la probabilidad de que otros usuarios interactúen con el mensaje.

Simulaciones de phishing

Las simulaciones pueden medir comportamiento y reforzar formación, pero deben utilizarse de manera proporcionada.

El objetivo es identificar patrones y mejorar la capacidad de detección, no avergonzar a empleados.

Los resultados deben relacionarse con acciones formativas y mejoras de controles.

Formación continua

Una sesión anual suele ser insuficiente. Los mensajes fraudulentos evolucionan y cada área recibe contextos distintos.

Conviene trabajar con ejemplos de facturas, proveedores, plataformas de firma, contraseñas y comunicaciones internas.

La formación debe explicar cómo verificar y cómo reportar.

Protección de cargos y perfiles sensibles

Alcaldía, intervención, tesorería, contratación, recursos humanos y administradores pueden recibir ataques dirigidos.

El servicio puede aplicar mayor monitorización, factores de autenticación reforzados y controles de proceso.

La criticidad debe basarse en capacidades y acceso, no únicamente en jerarquía.

Integración con gestión de vulnerabilidades

Los gateways, servidores y aplicaciones de correo también requieren actualización.

La gestión de vulnerabilidades municipal debe incluir componentes relacionados con correo e identidad.

Los sistemas sin soporte necesitan una estrategia de sustitución.

Copias y recuperación

Una cuenta comprometida puede provocar borrados o cambios masivos.

La estrategia de backup y disaster recovery debe considerar correo y archivos colaborativos según criticidad.

También debe conocerse la capacidad nativa de recuperación del proveedor SaaS.

Logs y SIEM

Los eventos de autenticación, reglas, reenvíos, detecciones y cambios administrativos deben enviarse al sistema de monitorización cuando proceda.

Esto permite correlacionar un correo con un inicio de sesión sospechoso o una ejecución en endpoint.

La conservación debe ajustarse a investigación, seguridad y privacidad.

Indicadores del servicio

Algunos KPI útiles son mensajes bloqueados, campañas detectadas, tiempo de respuesta, cuentas comprometidas, porcentaje de dominios autenticados y usuarios que reportan correctamente.

También puede medirse la evolución de simulaciones y falsos positivos.

Las métricas deben ayudar a priorizar acciones concretas.

Cuadro de mando DMARC

La entidad debería conocer qué fuentes envían en su nombre y qué porcentaje supera autenticación.

Un panel puede mostrar dominios, proveedores, fallos y evolución de políticas.

La información debe mantenerse incluso cuando cambia el adjudicatario.

SLA

Una cuenta comprometida o campaña activa necesita una respuesta rápida.

El pliego debe establecer tiempos para análisis, contención, retirada de mensajes y escalado según severidad.

La gestión de soporte y mantenimiento municipal ofrece criterios para diferenciar incidencias por impacto.

Onboarding

La puesta en marcha debe inventariar dominios, remitentes, buzones, reglas, plataformas, MFA y conectores.

Después puede establecerse una línea base de SPF, DKIM, DMARC y configuración de seguridad.

El resultado debe incluir un plan priorizado de correcciones.

Reversibilidad

La entidad debe conservar control sobre DNS, dominios, configuraciones, informes y cuentas administrativas.

Si se utiliza una plataforma externa de análisis DMARC o filtrado, debe existir capacidad de exportar información relevante.

Las credenciales y registros deben actualizarse cuando finaliza el servicio.

Cómo preparar el pliego

El pliego debe definir dominios, plataformas, autenticación, filtrado, MFA, monitorización, reporting, respuesta a incidentes, simulaciones, formación y SLA.

La guía de pliego técnico municipal ayuda a convertir estos elementos en obligaciones verificables.

También debe quedar claro qué licencias están incluidas y qué capacidad se necesita para retirar mensajes o investigar buzones.

Criterios técnicos de adjudicación

Puede valorarse metodología de despliegue DMARC, capacidad de detección y respuesta, integración con SIEM, automatización, reporting y soporte.

La propuesta debería explicar cómo reducirá la suplantación y el phishing, no limitarse a enumerar funcionalidades de una herramienta.

También es relevante la transferencia de conocimiento y la documentación.

Qué puede aportar BlackHold Consulting

La seguridad del correo se relaciona con integraciones, automatización e identidad. BlackHold Consulting trabaja en digitalización e integración de procesos, automatización de procesos, automatización administrativa y gestión documental automatizada.

También dispone de capacidades en procesos tecnológicos complejos, consultoría tecnológica, agentes e integraciones y servicios de automatización. Estas capacidades pueden apoyar configuración, integración, automatización de respuestas y remediaciones mediante la contratación pública correspondiente.

Checklist antes de contratar seguridad de correo

Dominios

¿Se conocen todos los dominios y remitentes?

SPF

¿Solo están autorizados servicios legítimos?

DKIM

¿Los principales remitentes firman correctamente?

DMARC

¿Existe una hoja de ruta hasta una política de protección efectiva?

MFA

¿Las cuentas están protegidas frente a robo de contraseña?

Respuesta

¿Se pueden retirar mensajes y revocar sesiones rápidamente?

Formación

¿Los empleados saben identificar y reportar phishing?

Reporting

¿La entidad recibe métricas útiles y mantiene control de sus dominios?

Preguntas frecuentes

Conclusión

La seguridad del correo municipal necesita combinar autenticación de dominio, protección de cuentas, filtrado, monitorización y respuesta. SPF, DKIM y DMARC son fundamentales, pero funcionan mejor dentro de una estrategia más amplia de identidad y SOC.

El ayuntamiento debe conocer quién envía en su nombre, cómo se detecta una cuenta comprometida y qué pasos se ejecutan cuando aparece una campaña de phishing.

Un servicio bien contratado reduce suplantaciones, mejora la capacidad de respuesta y protege uno de los canales más utilizados para acceder a información, credenciales y procesos internos de la Administración.

Si en lugar de una administración pública gestionas una empresa privada, estos mismos principios de seguridad y buena gobernanza digital aplican igual. En BlackHold Consulting ayudamos a pymes a digitalizarse de forma segura, incluyendo la gobernanza de los sistemas de IA que cada vez más negocios incorporan a su operativa diaria.

Fotografía: Markus Winkler / Pexels.