FORENSE DE UN CORREO DE PHISHING
Elige un correo para inspeccionar:
Cabeceras técnicas (SPF / DKIM / DMARC):
🔍 Señales que encuentras (opcional, para tu propio análisis):
Tu veredicto:
🔬 COMPARADOR DE DOMINIOS (HOMÓGRAFOS)
Dos dominios pueden verse exactamente iguales y ser, byte a byte, completamente distintos. Prueba los ejemplos o escribe los tuyos.
📖 CHULETA RÁPIDA
SPF
Comprueba si el servidor que envió el correo está autorizado a enviar en nombre del dominio del Return-Path (el remitente técnico) — no del nombre que ves en pantalla.
DKIM
Verifica una firma criptográfica que demuestra que el correo no se modificó y que lo firmó quien dice controlar ESE dominio — otra vez, el dominio técnico, no el nombre mostrado.
DMARC — la pieza que falta
Exige que el dominio validado por SPF o DKIM coincida (esté alineado) con el dominio del "De:" que ves. Un atacante puede tener SPF y DKIM en verde para netflix-cuentas-verificacion.com — DMARC es lo único que detecta que ese dominio no es netflix.com.
El caso más difícil: todo en verde
Si el atacante registra un dominio propio y lo autentica correctamente, SPF, DKIM y DMARC pasan los tres — porque técnicamente ese correo es 100% legítimo para ese dominio. La autenticación nunca demuestra que el dominio pertenezca a la organización que dice ser.
Homógrafos / IDN
Cirílico, griego y otros alfabetos tienen letras visualmente idénticas a las latinas pero con un código Unicode distinto. Los navegadores modernos, al detectar una mezcla sospechosa de alfabetos en un dominio, muestran su forma punycode (algo como xn--pypal-4ve.com) en vez de los caracteres bonitos, precisamente para frustrar este ataque.
El enlace visible miente gratis
El texto azul y subrayado de un enlace es solo texto — no tiene por qué coincidir con el destino real (href). Pasa el ratón por encima (o mantén pulsado en móvil) antes de hacer clic, siempre.
La urgencia no es prueba de nada, en ningún sentido
Ni "tienes 24 horas o perderás la cuenta" prueba que sea phishing, ni un tono tranquilo prueba que sea legítimo. Es una técnica de manipulación (para que no pares a pensar), no una señal técnica — verifica siempre el dominio real, sea cual sea el tono.
Referencia
El phishing sigue siendo, año tras año, el vector de entrada inicial más común en incidentes reales (informes DBIR de Verizon) — antes que cualquier vulnerabilidad técnica sofisticada.