Cinco datos que un perito mira antes de abrir el correo
Hay una herramienta que usaba a diario y que en algún momento dejé de tener disponible como punto de entrada independiente. Me acordé de ella esta semana, cuando un colega me llamó para avisarme de que mañana me contactaría un cliente con un caso urgente: alguien había cambiado el IBAN de una factura en tránsito.
Lo primero que quise hacer fue introducir el dominio sospechoso y ver qué me decía. Sin construir un EML. Sin pasar por el scanner completo. Solo el dominio.
Ese reflejo tiene un nombre: identificación de dominio. Y los cinco datos que devuelve explican, mejor que cualquier definición, cómo funciona una parte importante del fraude digital.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
¿Existe el dominio?
La primera pregunta es la más básica: ¿este dominio responde? Un ping simple confirma si hay algo al otro lado. Parece trivial, pero no lo es.
Los atacantes registran dominios que a veces no tienen web, no tienen correo visible, no tienen nada — solo existen para poder enviar desde ellos. Un dominio que responde al ping pero no tiene web activa es una señal que merece atención, especialmente si el contexto es una factura o una comunicación comercial.
¿Cuánto tiempo lleva registrado?
La antigüedad del dominio es uno de los indicadores más fiables en análisis forense. Un dominio legítimo de una empresa consolidada tiene años de historia. Un dominio registrado hace tres semanas, con el mismo nombre que una empresa real pero con una extensión distinta, es una señal de alerta inmediata.
En el caso de esta semana, el esquema probable es exactamente ese: un atacante registró un dominio que imita al de una empresa real — mismo nombre, TLD distinto — y lo usó para interceptar una factura y cambiar el IBAN. La antigüedad del dominio falso lo habría delatado en segundos.
¿Está en la whitelist?
Una whitelist de dominios verificados es la memoria acumulada de un sistema forense. Si el dominio ya ha sido analizado y clasificado como legítimo, aparece. Si no aparece, no significa necesariamente que sea fraudulento — pero significa que nadie lo ha verificado todavía.
En el contexto de una factura sospechosa, un dominio ausente de la whitelist combinado con poca antigüedad y extensión atípica es suficiente para levantar la mano antes de hacer ninguna transferencia.
¿Tiene registro MX?
El registro MX indica si el dominio está configurado para recibir y enviar correo electrónico. Un dominio sin MX no puede gestionar correo — lo que significa que cualquier email que diga venir de ese dominio es técnicamente imposible por vías legítimas.
Pero hay un matiz importante: un dominio con MX configurado tampoco es garantía de legitimidad. Los atacantes configuran MX precisamente para poder enviar correos que superen los filtros básicos. Lo relevante es cruzar este dato con los anteriores: MX activo + dominio reciente + extensión sospechosa es una combinación que no admite muchas interpretaciones.
¿Qué extensiones similares existen?
Este es el dato que más me gusta explicar, porque es el que más sorprende a quien no lo ha visto antes.
Si una empresa opera desde empresa.es, un atacante puede registrar empresa.com, empresa.net, empresa.info o empresa.org — y usarlo para suplantar su identidad. El nombre es idéntico. Solo cambia la extensión. Y en el flujo de trabajo diario de una empresa, nadie mira la extensión del dominio del remitente.
Listar las extensiones registradas bajo el mismo nombre es una forma rápida de ver si alguien ha estado preparando el terreno. Si empresa.es existe desde hace diez años pero empresa.com se registró hace dos semanas, la pregunta se hace sola.
Cinco datos, treinta segundos, una decisión
Ninguno de estos cinco datos es concluyente por sí solo. Un dominio reciente puede ser una empresa nueva. Un dominio sin web puede ser infraestructura interna. Una extensión alternativa puede ser una compra defensiva legítima.
Lo que hace útil esta herramienta no es cada dato por separado — es la combinación. Cuando un dominio es reciente, no está en whitelist, tiene MX activo pero no tiene web, y existe junto a extensiones más antiguas del mismo nombre, el patrón es suficientemente claro para actuar antes de que el daño sea irreversible.
En el fraude de cambio de IBAN, el dinero suele estar ya transferido cuando alguien llama al perito. El objetivo de esta herramienta es que la llamada llegue antes.
¿Has recibido una factura con datos bancarios distintos a los habituales o sospechas que un dominio está siendo usado para suplantar a un proveedor? Oscar Orts — perito informático judicial — puede analizar el caso y emitir un informe pericial con validez legal para procedimientos judiciales o reclamaciones a aseguradoras.