¿Qué es la protección del correo electrónico?

La protección del correo electrónico (email protection) es una combinación del despliegue de tecnología de seguridad y la formación de empleados, asociados, clientes y otras personas sobre cómo protegerse contra los ciberataques que se infiltran en su red a través del correo electrónico.

Las amenazas habituales por correo electrónico de los ciberatacantes suelen incluir el envío de archivos adjuntos malintencionados o URL amenazadoras conocidas a una persona objetivo a través del correo electrónico. Los correos electrónicos de impostores, sin embargo, dependen de la ingeniería social y de empleados ocupados, cansados o distraídos para poder funcionar. Normalmente, el atacante se hace pasar por un alto ejecutivo de la empresa, como el director general, basándose en la suposición de que el objetivo será reacio a desafiar a un director general en una solicitud, como una transferencia bancaria de dinero.

Los empleados atentos constituyen una importante línea de defensa para proteger el correo electrónico contra estos correos falsos. Están mejor dotados para analizar estos correos entrantes y determinar si son legítimos. Si se descubre que son amenazas reales, los empleados atentos pueden frustrarlas.

La protección del correo electrónico (email protection) se refiere a la tecnología diseñada para prevenir, detectar y responder a los ciberataques enviados a través del correo electrónico. El término lo abarca todo, desde los sistemas de correo electrónico de entrada hasta el comportamiento de los usuarios, pasando por los servicios de asistencia relacionados y las herramientas de seguridad. Una seguridad eficaz del correo electrónico no sólo requiere la selección de los productos adecuados —con las prestaciones y configuraciones requeridas—, sino también disponer de los procedimientos adecuados.

La protección de email es fundamental para salvaguardar a los usuarios, los sistemas y los datos. Según el Informe de Verizon sobre investigaciones de fugas de datos en 2020, las acciones sociales, como el phishing de credenciales, llegan a través del correo electrónico el 96% de las veces^[1]. Los ataques de malware solían consistir en campañas indiscriminadas y de gran volumen contra un gran número de objetivos. Desde entonces han evolucionado hacia una combinación de técnicas más sofisticadas y selectivas. Para lograr sus objetivos, los atacantes actuales cambian constantemente sus tácticas.

Los controles habituales para la protección de email, como los antivirus estándar, basados en la reputación, antispam y basados en firmas, están bien para los ataques generalizados y las campañas de estafas. Pero no son lo suficientemente buenos para la protección contra ataques más selectivos, sofisticados y avanzados. Una protección eficaz del correo electrónico requiere un enfoque centrado en las personas.

He aquí algunos tipos comunes de ataques por correo electrónico:

• Archivos adjuntos malintencionados en el correo electrónico: Puede que los métodos de ataque de los ciberdelincuentes hayan evolucionado, pero algunos de los más antiguos, como los archivos adjuntos malintencionados, siguen teniendo éxito. Los archivos adjuntos malintencionados pueden presentarse en forma de archivos ejecutables, documentos convertidos en armas (como archivos de Microsoft Word con una macro malintencionada) y código malintencionado oculto dentro de otro tipo de archivos.
• URL malintencionadas: Los ciberatacantes suelen incluir una URL que enlaza con malware alojado en la web.
• Compromiso de correo electrónico empresarial (BEC): El BEC es un tipo de ataque que se basa en la ingeniería social para engañar al destinatario para que realice una acción: transferir dinero, enviar información confidencial, etc.
• Compromiso de cuenta de correo electrónico (EAC): El EAC es uno de los enfoques más eficaces para los atacantes, consiste en hacerse con el control de una cuenta de correo electrónico legítima. Al hacerse con el control de la cuenta adecuada, el intruso puede moverse lateralmente dentro de la red de la víctima, robar datos o estafar a socios comerciales y clientes.

La mayoría de los ataques por correo electrónico implican algún tipo de engaño de identidad, o suplantación. El correo electrónico atacante puede tratar de imitar el aspecto de un correo legítimo mediante una serie de técnicas de phishing y spoofing (suplantación de identidad) o, en el caso del EAC, haciéndose pasar por una cuenta legítima. Al hacerse pasar por alguien en quien el destinatario puede confiar, el atacante persuade a la víctima para que abra un archivo adjunto, haga clic en un enlace, etc.

La empresa de investigación Gartner publicó la Guía de Mercado para la Seguridad del Correo Electrónico en junio de 2019. En ella, Gartner señaló que la transición a los sistemas de correo electrónico basados en la nube debería impulsar a las organizaciones a adoptar una mentalidad de evaluación adaptativa continua de riesgos y confianza (CARTA, por sus siglas en inglés) para proteger sus sistemas de correo electrónico de amenazas cada vez más adaptables y sofisticadas.

Gartner también insta a las organizaciones a sacar el máximo partido de sus actuales sistemas de correo electrónico locales, verificando y optimizando sus prestaciones y configuraciones. Este tipo de análisis de carencias identifica dónde deben complementarse o sustituirse dichos sistemas. Para subsanar las deficiencias de los sistemas de seguridad existentes, Gartner recomienda añadir un complemento de seguridad del correo electrónico en la nube a la seguridad actual si los sistemas existentes no pueden sustituirse por completo.

Gartner también recomienda invertir en la formación de los usuarios finales y adoptar nuevos procedimientos operativos estándar para proteger las transacciones financieras y de otros datos sensibles que suelen ser objeto de ataques de suplantación de identidad^[2].

Las organizaciones primero construyeron y gestionaron sus sistemas de TI sólo dentro de sus organizaciones, es decir, in situ. Al migrar a la nube, también lo ha hecho su seguridad informática.

Para 2022, al menos uno de los principales proveedores de pasarelas seguras para el correo electrónico (SEG) llegará al “final de la vida útil” de sus componentes locales, predice Gartner en su informe “Guía de mercado para la seguridad del correo electrónico”. En su informe, Gartner también predijo que, para 2023, el 65% de las organizaciones inspeccionarán su tráfico de correo electrónico intradominio en busca de amenazas avanzadas, lo que supone un importante aumento con respecto al 7% de 2019^[3].

Gartner también afirma que “Algunas organizaciones con requisitos únicos seguirán manteniendo los sistemas SEG en sus instalaciones, debido a su diseño único de privacidad, soberanía de datos, legal y de redes”. “[Pero] las organizaciones que han migrado al correo electrónico en la nube y las que están planeando una migración están optando masivamente por productos de seguridad de correo electrónico en la nube”.

La mayoría de los principales entornos de computación en nube son altamente seguros. Pero las personas que los utilizan, sus usuarios, podrían no serlo. Esa es la razón por la que los ciberataques actuales se han desplazado de la infraestructura a las personas. Y es la razón por la que debe adoptar un enfoque centrado en las personas para la protección del correo electrónico.

[1] Verizon. “2020 Data Breach Investigations Report.”
[2] Gartner. “Market Guide for Email Security.”
[3] Ibid.